每一則回覆都自己說出拖了多久（inkstone/ISEP#63 → comment 5106）

leo 2026-08-27：「前面說過每個回覆要戴上已經花了總時長，這為什麼沒出現？」
              「這應該寫在 ISEP，隨時看自己拖了多久」
重點在後面那句：不是要總管記得戴，是要它長在機器上。
總管當時答「我沒做，現在開始戴」——而那正是這條規則第一次失效的方式。

一支閘掛兩個事件，是同一件事的兩半（票上點名的失效模式就在這裡）：
  UserPromptSubmit → 注入算好的那一行（模型不必自己算，也算不準）
  Stop            → 查核這一回合的回覆裡到底有沒有那一行，沒有就擋一次
只做前半＝又一個會被忽略的提醒；只做後半＝罰它做一件拿不到資料的事。

判準不是關鍵字黑名單，是「那個被要求的輸出元素在不在」——
whitelist-of-one：要求一個機器產生的標記在場，不是猜哪些字不該在場。
換講法照樣要帶標記，多寫什麼都不會觸發。

時長從這段對話的第一則訊息算起，理由寫在 hooks/lib/countdown.py 檔頭：
「任務」在機器上沒有起點，而 CLAUDE.md 規則三點七「一段對話＝一個 release」
剛好讓對話起點就是這個交付的起點——這個數字沒有人要維護，也不會說謊。
resume 取較早的那個：接關不是重新開始。

連帶修好票上的兩個卡點（prod-write-guard）：
  卡點一 發一則 Telegram 跟部署工作流在閘眼裡一模一樣 ⇒ 判準改看打的是哪一個
        named webhook（路徑形狀＋名字），放行範圍只有 notify_leo 一個名字
  卡點二 連「把卡點寫進票裡」都被同一支閘擋（同款第八次）⇒ 剝掉內文再判，
        起始行保留，所以真的在部署的寫法照樣擋
        （修這支的過程又撞了一次同款——那就是這一格最好的證據）

測試：countdown 20/20、prod-write-guard 29→37/37，全程離線
     （時鐘定住、狀態走環境變數、不打網路）。
實測：起點 06:28 台北、現在 08:03 ⇒ 期望「已過 1 小時 35 分」，實得同一字串。

plugin.json 0.9.0 → 0.10.0（版本沒動＝沒有人吃得到）。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

.claude-plugin/marketplace.json

@@ -8,7 +8,7 @@
   "plugins": [
     {
       "name": "isep",
-      "description": "InkStone Environment Plugin —— leo 的 Claude Code 環境唯一真相源：46 支機械閘（56 條註冊，白話盤點見 docs/hooks-inventory.md）、7 支 slash command、2 支 skill、27 支腳本，外加治理規範與標籤真相源。本機與雲端裝同一份，沒有子集。",
+      "description": "InkStone Environment Plugin —— leo 的 Claude Code 環境唯一真相源：51 支機械閘（64 條註冊，白話盤點見 docs/hooks-inventory.md）、7 支 slash command、2 支 skill、27 支腳本，外加治理規範與標籤真相源。本機與雲端裝同一份，沒有子集。",
       "author": {
         "name": "Leo",
         "url": "https://uncle6.me"

.claude-plugin/plugin.json

@@ -1,7 +1,7 @@
 {
   "name": "isep",
-  "description": "InkStone Environment Plugin —— leo 的 Claude Code 環境唯一真相源：46 支機械閘（56 條註冊，白話盤點見 docs/hooks-inventory.md）、7 支 slash command、2 支 skill、27 支腳本，外加治理規範與標籤真相源。本機與雲端裝同一份，沒有子集。",
+  "description": "InkStone Environment Plugin —— leo 的 Claude Code 環境唯一真相源：52 支機械閘（67 條註冊，白話盤點見 docs/hooks-inventory.md）、7 支 slash command、2 支 skill、28 支腳本，外加治理規範與標籤真相源。本機與雲端裝同一份，沒有子集。",
-  "version": "0.4.0",
+  "version": "0.10.0",
   "keywords": [
     "inkstone",
     "guardrails",

.gitignore

@@ -3,3 +3,16 @@
 cloud-env*.txt
 *.env
 .shell-payload/
+
+# import 共用零件時 python 自己生的，不是原始碼
+__pycache__/
+*.pyc
+
+# 推 main 被擋下時留的請求（main-and-prod-push-guard.sh 寫的）。
+# 這是**本機當下的狀態**，不是原始碼：一份檔案的語意是「有一筆推 main 正在等總管裁」。
+# 進版控會有兩個後果（inkstone/ISEP#59 comment 4779 第 ① 條，兩個都實際發生過）：
+#   ① `git add -A` 把它帶進 commit ⇒ 別人 clone 下來就多一筆**別人的**待裁決
+#   ② 被追蹤的檔每次被覆寫都變成 ` M` ⇒ `git status` 永遠是髒的
+# （寫成 `目錄/*` 而不是 `目錄/`：後者連目錄本身都排除，下一行的例外就永遠生效不了）
+pending-main-push/*
+!pending-main-push/README.md

README.md

@@ -23,7 +23,7 @@
 
 | | 數量 | 是什麼 |
 |---|---|---|
-| `hooks/` | 43 支 ＋ `hooks.json` | 全部機械閘（PreToolUse／Stop／SubagentStop／SessionStart／PostToolUse 共 53 條註冊） |
+| `hooks/` | 48 支 ＋ `hooks.json` | 全部機械閘（PreToolUse／Stop／SubagentStop／SessionStart／PostToolUse 共 59 條註冊；`ISEP#60` 移除 `claim-verify-police.sh`／`subagent-claim-worksheet.sh` 這對自造機制，改由 Gitea 原生三格承接見 `ISEP#59`） |
 | `commands/` | 7 支 | `/wiki-recall` `/ship-check` `/cp-write` … |
 | `skills/` | 2 支 | |
 | `scripts/` | 23 支 | `ticket`／`github-arm.sh`／`gitea-bootstrap.sh` … |
@@ -48,6 +48,10 @@ hook 一律用官方的 `${CLAUDE_PLUGIN_ROOT}`，**不准寫死絕對路徑、
 **不用點開任何 `.sh`**——`docs/hooks-inventory.md` 一支一行白話，按「你會在什麼時候撞到它」分組。
 測試手冊在 `docs/TESTING.md`，治理規範在 `docs/governance/`。
 
+🔴 **派工前先讀 `docs/governance/dispatch-and-reply-format.md`**——
+派工單只給票號（其餘全部寫進票或共通規定），票上的每一則留言第一行要表明身份。
+兩件事都有機械閘（`dispatch-format-guard.sh`／`reply-identity-guard.sh`）。
+
 ## 版本
 
 **「ISEP 現在是哪一版」只有一個地方答得出來：[Gitea Releases](https://git.uncle6.me/inkstone/ISEP/releases)。**

docs/TESTING.md

@@ -43,12 +43,33 @@ bash scripts/test-release-tag-guard.sh
 **該看到**：`3/3 通過`（1 個該擋、2 個不該擋）。
 **失敗**：該擋的放行（假綠）；或不該擋的被擋——**誤攔比漏擋更該修**，誤攔會懲罰謹慎。
 
-### A4 — 開票側門閘：13 條
+### A4 — 新增 Gitea 東西的側門閘：24 條
 ```
 bash scripts/test-ticket-api-bypass-guard.sh
 ```
-**該看到**：`13/13 通過`。
+**該看到**：`24/24 通過`（前 13 條是 v1 的開票案例；後面是 inkstone/ISEP#72
-**失敗**：任何一條不符，特別看「不該擋」那 8 條。
+擴大範圍後補的：隱式/小寫 POST、milestone／label／PR、org 端點、以及一條打
+真實 Gitea 網路重演 Arcrun#100 的案例——這台機器的 remote 沒帶憑證時會印
+`⏭️ SKIP`，不算失敗，但也不算驗過）。
+**失敗**：任何一條不符，特別看「不該擋」那幾條——誤攔比漏擋更該修。
+
+### A13 — 搜尋戳記要證明「看過」，不是「跑過」：17 條
+```
+bash scripts/test-ticket-where-seen-guard.sh
+```
+**該看到**：`通過 17 條，失敗 0 條`。全程離線（`TICKET_HOST` 指到連不上的位址：
+離開碼 2 ＝被閘擋、離開碼 1 ＝閘全放行走到網路才炸），**不打真實 Gitea、不留測試票**。
+
+**它在守什麼**（inkstone/ISEP#72 → comment 4873，2026-08-27 實犯）：
+`ticket where … >/dev/null` 之後 `ticket new`——戳記寫成功了，命中的 72 張一眼沒看，
+於是開出 `arcrun-rag#147`，而第一名 `arcrun-rag#104` 是同一件事、已經開了 13 天。
+
+**失敗**：
+- 「★」那兩條紅 ⇒ 今天這個形狀會再發生一次（尤其第二條：先寫好 `--not-a-comment`
+  理由就能閉著眼睛開票）
+- 「不該擋」3 條任一紅 ⇒ **誤攔**，這比漏擋嚴重——沒命中也吵、看過了還吵，
+  人就學會忽略它
+- 最後那組 `fd_is_devnull` 紅 ⇒ 判準從「fstat 問得出來的事實」滑回猜文字
 
 ### A11 — 討論串裡的任務要長成子票：22 條
 ```
@@ -70,6 +91,46 @@ bash scripts/test-baton-handback-guard.sh
 - 「不該報」4 條任一紅 ⇒ 每條線收工都被念一次，警報會被學會忽略
 - 「票已關」那條紅 ⇒ 棒子已經到終點還在催，那是最典型的假警報
 
+### A14 — 每一則回覆都自己說出拖了多久：20 條
+```
+bash hooks/tests/countdown-guard.test.sh
+```
+**該看到**：`通過 20 條，失敗 0 條`。**全程離線**：時鐘用 `ISEP_COUNTDOWN_NOW` 定住、
+狀態走 `ISEP_COUNTDOWN_STATE_DIR`，不打網路、不碰 `$HOME`。
+
+**它在守什麼**（`inkstone/ISEP#63`，leo 2026-08-27）：
+「前面說過每個回覆要戴上已經花了總時長，**這為什麼沒出現？**」
+「這應該寫在 ISEP，隨時看自己拖了多久」——重點在後面那句：
+**不是要總管記得戴，是要它長在機器上。** 總管當時答「現在開始戴」，
+而那正是這條規則第一次失效的方式。
+
+**判準**：一個新開的 session，什麼都沒被交代，回覆裡照樣有時長。
+
+**失敗**：
+- A 群（注入）任何一條紅 ⇒ 那一行算錯了。**④ 特別看**：期望「已過 2 小時 13 分」，
+  實得就要是同一個字串——這格就是票上驗收第 2 條「數字對得上真實經過的時間」
+- ⑤ 紅 ⇒ 連續幾則不是遞增（歸零或亂跳），票上驗收第 3 條
+- ⑦ 紅 ⇒ 過了收工線卻悄悄換算成明天。**超時消失 ＝ 這個東西的意義沒了**
+- ⑨ 紅 ⇒ 沒有 milestone 快取時編了一個日期出來（寧可少一段，不准編）
+- B 群（該擋）紅 ⇒ 「注入了但模型沒照做」這個主要失效模式沒有被接住
+- **C 群（不該擋）任何一條紅 ⇒ 誤攔，這比漏擋嚴重**——每一回合都被念一次，
+  人就學會忽略它，那它就等於不存在（本 repo 心法第 2 條）
+
+🔴 **跑測試前先確認 `CLAUDE_CODE_CHILD_SESSION` 沒有殘留**：本閘刻意放行子 session
+（subagent 的回覆不是給 leo 看的），所以在一條 subagent 裡跑，B 群會**全綠而且是假綠**。
+測試檔自己會把它清掉——2026-08-28 第一次跑就撞到這個，才補上去的。
+
+### A15 — 發通知不等於部署：37 條
+```
+bash hooks/tests/prod-write-guard.test.sh hooks/prod-write-guard.sh
+```
+**該看到**：`通過 37 ／ 失敗 0`（原本 29 條，`inkstone/ISEP#63` 補 8 條）。
+**失敗**：
+- 「卡點一」6 條任一紅 ⇒ 要嘛 leo 收不到 Telegram（`notify_leo` 被當成部署擋掉），
+  要嘛白名單放太寬——**「別的 named webhook」「部署端點」兩條若變綠，等於這道閘被拆了**
+- 「卡點二」2 條任一紅 ⇒ 「談論它」又被當成「執行它」（同款第八次），
+  或是剝了內文之後連真的部署都放行了
+
 ### A5 — 開票前的搜尋是跨 repo 的
 ```
 python3 scripts/ticket where 標籤 模組化
@@ -104,6 +165,30 @@ bash hooks/tests/ask-user-question-guard.live.test.sh
 - 📌 這支會隨模型版本漂移，**是量尺不是一次性驗收**。改完判準要連跑三次都全綠才算數
   （2026-08-26 實測：第一版判準連兩次都在同一題漏擋，收緊 ③④ 定義後三次全綠）
 
+### A11 — 派工單只剩票號：擋得住，也放得過，而且會注入共通規定
+```
+bash hooks/tests/dispatch-format-guard.test.sh
+```
+**該看到**：`19/19 通過`。**離線、不打網路、不花錢**——這支閘是純結構判斷，沒有語意判官，
+所以它不需要像 A10 那樣另開一支 live 測試量準度，**每次結果都一樣**。
+**失敗**：
+- A 群任何一條紅 ⇒ **誤攔**。合規的派工只有一行票號，擋掉它等於整台機器派不了工
+- ⑦ 紅 ⇒ **共通規定沒有被注入**。這是「派工單只剩票號」能成立的前提：
+  交件方式、不准 push main、org 是 `inkstone` 這些不必有人記得寫，機器每次都補。
+  它壞了不會有人立刻發現——派工照樣送出去，只是收工方**不知道要貼回原票**
+- ⑨ 紅 ⇒ 真跡放行了。那份測資是**真的發生過的那一次派工**（見 `hooks/tests/fixtures/README.md`）
+- ⑰ 紅 ⇒ 訊息被 shell 展開了（同 A9 ⑩b 那個病：閘照擋，但它教人怎麼解的那兩行變成空白）
+
+### A12 — 票上的每一則留言都認得出是誰寫的（兩道門）
+```
+bash hooks/tests/reply-identity.test.sh
+```
+**該看到**：`11/11 通過`。離線，正門的案例全部在打 API 之前就結束，不會真的送出留言。
+**失敗**：
+- ③ 紅 ⇒ 誤攔了「GET 撈留言」。那是最常做的動作，擋它比漏擋更糟
+- ①⑧ 紅 ⇒ 有一道門沒守住。**貼留言有兩條路**（`scripts/ticket` 正門、Gitea API 側門），
+  只封一條等於沒封——`ticket-api-bypass-guard.sh` 是**刻意放行**對既有票留言的
+
 ### A6 — 標籤對齊且冪等
 ```
 bash scripts/gitea-labels-sync.sh
@@ -237,11 +322,16 @@ B2（信標那行）／B3（setup 輸出）／B4（閘的訊息）三個畫面
 | A1 manifest 合法 | 總管 | ✅ |
 | A2 版本三處一致 | 總管 | ✅ |
 | A3 打 tag 閘 | 總管 | ✅ 3/3 |
-| A4 開票側門閘 | 總管 | ✅ 13/13 |
+| **A4 新增 Gitea 東西側門閘** | 總管 | ✅ 24/24（2026-08-27，inkstone/ISEP#72） |
+| **A13 戳記證明看過不是跑過** | 總管 | ✅ 17/17（2026-08-27，inkstone/ISEP#72→4873） |
+| **A14 回覆自己說出拖了多久** | 總管 | ✅ 20/20（2026-08-28，inkstone/ISEP#63） |
+| **A15 發通知不等於部署** | 總管 | ✅ 37/37（2026-08-28，inkstone/ISEP#63） |
 | A5 搜尋跨 repo | 總管 | ✅ |
 | A6 標籤對齊＋冪等 | 總管 | ✅ 14 repo，第二次 0/0 |
 | **A9 人閘警察管路** | 總管 | ✅ 14/14（2026-08-26） |
 | **A10 人閘警察準度** | 總管 | ✅ 9/9，連跑三次（2026-08-26），A 群誤攔 0 |
+| **A11 派工單只剩票號** | 總管 | ✅ 19/19（2026-08-27） |
+| **A12 留言身份欄（兩道門）** | 總管 | ✅ 11/11（2026-08-27） |
 | A7 plugin 裝得起來 | 總管 | ✅ |
 | **A8 新 session 閘會觸發** | 總管 | 見本版 release note |
 | **B1–B5 雲端** | **leo** | 還沒跑（機器碰不到 Cloud environment） |

docs/governance/dispatch-and-reply-format.md

@@ -0,0 +1,113 @@
+# 派工單與交件回覆的格式（共通規定）
+
+> leo 2026-08-27（`inkstone/ISEP#30` comment 4322 / 4325 / 4327）：
+> 「你用一個 **output parser** 把你給 subagent 的指令規範，**分作幾點，每一點規定格式**，
+>   **照這種散文寫法根本無法迭代**」／「**警察也不能抓**」／
+> 「**交件方式不需要寫，定義在原則裡，每張票都要做這件事⋯⋯每次都一樣提取出來變成共通規定**」／
+> 「（那些 session 事實）**這些為什麼不寫到票裡？**」／「**subagent 回覆時要表明身份**」
+
+**本檔就是那份「共通規定」。** 它不是給人讀完記住的——
+`hooks/dispatch-format-guard.sh` 會把 §2 自動注入每一次派工，
+所以收工方**沒讀派工單也會拿到**。
+
+---
+
+## 1. 派工單 ＝ 票號。就這樣
+
+```
+【工單】inkstone/ISEP#30 → comment 4322
+```
+
+要帶兩張票就兩行 `【工單】`。**沒有第二個欄位。**
+
+### 為什麼
+
+派工單裡想寫的東西只有兩種，**兩種都不該留在派工單**：
+
+| 種類 | 舉例 | 該住哪 |
+|---|---|---|
+| **每次都一樣** | 交件方式、不要 push main、org 是 `inkstone`、先讀該 repo 的 CLAUDE.md | **本檔 §2**（機器自動注入） |
+| **這次才知道** | `main` 現在是哪顆、今天撞過什麼、另一條線正在動同一個 repo | **寫進那張票** |
+
+**判準一句話：「這句話換一張票還成立嗎？」**
+還成立 ⇒ 共通規定。只有這次成立 ⇒ 寫進這張票。**兩種都不進派工單。**
+
+🔴 **「票上還沒有」不是把它寫進 prompt 的理由——它是「去把它寫上票」的指令。**
+寫進 prompt 的後果：那個 agent 被停掉或換人接手，那段事實就隨 prompt 消失。
+2026-08-27 實害：總管停掉重派 3 次，前兩次的任務與 session 事實**全部蒸發**。
+
+### 機械閘
+
+`hooks/dispatch-format-guard.sh`（PreToolUse `Task`／`Agent`）——
+`【工單】` 以外還有實質內容就擋，並指出那些內容該搬去哪一格。
+判準是**「這一行是不是【工單】欄位」**（在不在），不是「它寫了什麼」。
+
+---
+
+## 2. 共通規定（每一次派工由機器自動注入給收工方）
+
+<!-- INJECT:BEGIN 這段之間的內容會被 dispatch-format-guard.sh 原文注入，改這裡＝改所有派工 -->
+### 你收到的派工單只有一個票號。任務全文在票上。
+
+1. **第一個動作是去讀那張票**（含每一則 comment）。派工單不會再給你別的東西——
+   這是刻意的：票活得比任何一個 agent 久。
+2. **票上的脈絡不夠 ⇒ 回票上問**，不要憑猜測動手，也不要回頭問派工的人要細節。
+3. **交件＝貼回那張票**（`scripts/ticket say <owner/repo#N> -F <檔>`），
+   不是只在對話裡回報。回覆第一行必須是身份欄，見下。
+4. **回覆第一行一律是**：
+   `【身份】subagent／<owner/repo>／<你的分支>`
+   角色三選一：`總管`／`subagent`／`leo`。
+5. **不准 push 到 `main`／`master`**，也不准部署 prod。做在自己的分支上，交回分支名。
+6. **Gitea 的 org 是 `inkstone`**（不是 `Leo`）；`gh` 打不到 Gitea；
+   標籤是 `s/*` 不是 `status/*`。
+7. **先讀你要動的那個 repo 的 `CLAUDE.md` 與 `system-dev/wiki/`**，照它的慣例走，
+   不要照你自己習慣的做法。
+8. **交出去之前，你要知道它能不能用**——貼實測輸出，不是「我測過了」。
+   有一格沒驗 ⇒ 那是 report 不是 deliver，講清楚哪一格。
+9. **改了會被載入的東西（plugin／worker／bundle）就要升版**，
+   否則產物按版本號分資料夾，你的改動到不了任何人手上。
+<!-- INJECT:END -->
+
+> 🔴 **這一段是「每次都一樣」的唯一真相源。**
+> 想在派工單裡加一句叮嚀之前，先問：它換一張票還成立嗎？
+> 成立就加在這裡（改一次，全機生效），不要加在那一次的 prompt 裡。
+
+---
+
+## 3. 交件回覆 ＝ 第一行表明身份
+
+```
+【身份】subagent／inkstone/ISEP／feat/ticket-carries-the-task
+```
+
+- 角色是**三選一的允許清單**：`總管`／`subagent`／`leo`
+- 第二格是你動的 repo，第三格是分支（沒有就寫 `-`）
+
+### 為什麼
+
+2026-08-27 實害：多條線並行時票上的留言看不出身份，
+**總管寫的診斷被當成 subagent 的結論，而其中一則是錯的**。
+
+🔴 **這條管所有人，不是只管 subagent。** 總管寫在票上的東西同樣要標
+`【身份】總管／…`——leo 要分得出哪一則是誰寫的。
+
+### 機械閘（兩道，因為這個動作有兩條路）
+
+| 路 | 閘 |
+|---|---|
+| 正門 `scripts/ticket say` / `decide` | 腳本內建檢查，貼上去之前就擋 |
+| 側門 直接打 Gitea API 貼 comment | `hooks/reply-identity-guard.sh`（PreToolUse `Bash`） |
+
+> 只封正門的閘等於沒封——`ticket-api-bypass-guard.sh` 的檔頭已經記過這一課：
+> 「規範有、閘也有，但閘長在『工具』上，而那個動作有兩條路，只封了一條。」
+
+---
+
+## 4. 這份規範自己怎麼被驗
+
+```
+bash hooks/tests/dispatch-format-guard.test.sh     派工單閘：該擋的與不該擋的
+bash hooks/tests/reply-identity.test.sh            身份欄：正門與側門兩道
+```
+
+測資裡放的是**真的發生過的那幾份違規派工單**，不是想像出來的例子。

docs/governance/sdd-gitea-governance.md

@@ -274,9 +274,9 @@ s/triage ──驗傷通過──▶ s/backlog ──排進 milestone──▶ s
 | E9 | 留言變成推理長文 | hook：超長**不 reject**，要求移去 wiki 再留指標 | ❌ 待建（放寬版，見 §8.3） |
 | E10 | 就地修改治理檔案 | 安裝目錄唯讀 ＋ hook，導向 ISEP 開 issue | ❌ 待建 |
 | E11 | 本機雲端版本漂移 | SessionStart hook 比對版本，不一致 fail-fast | ◐ 現有 `skill-deploy-drift-guard.sh` 管的是 skill 不是 plugin 版本 |
-| E12 | 宣稱交付但沒有 release | 版本三處一致閘：`plugin.json` ＝ tag ＝ release 存在；且 milestone open issues ＞ 0 不准打 tag | ◐ 現有 `delivery-police.sh`／`claim-verify-police.sh` 部分覆蓋 |
+| E12 | 宣稱交付但沒有 release | 版本三處一致閘：`plugin.json` ＝ tag ＝ release 存在；且 milestone open issues ＞ 0 不准打 tag | ◐ 現有 `delivery-police.sh` 部分覆蓋（`claim-verify-police.sh` 已於 `ISEP#60` 移除，見下方腳註） |
 | E13 | 審核被遺忘 | Stop hook：**我自己開的** `s/review` 存在且**這回合完全沒碰它** → 擋一次 | ◐ 現有 `empty-handed-stop-guard.sh` 判準不同，兩者要合併不要疊加 |
-| E14 | Subagent 空口宣稱完成 | SubagentStop hook | ✅ **已有** `subagent-claim-worksheet.sh` ＋ `empty-handed-stop-guard.sh` |
+| E14 | Subagent 空口宣稱完成 | SubagentStop hook | ◐ 原本 `subagent-claim-worksheet.sh` ＋ `empty-handed-stop-guard.sh`；前者已於 `ISEP#60`（2026-08-27）移除，見下方腳註 |
 | E15 | 代理硬做只有人能做的事 | 代理端無對應 tool 或 token；唯一出口是開 `human/exec` 票 | ◐ 部分（credential 機制已擋一部分，D36） |
 | E16 | 標籤漂移 | 走 Gitea labels API 依 `labels.yaml` 校正：缺的補、改的還原、多的**只告警不刪** | ❌ 待建（`ISEP#4`） |
 
@@ -312,6 +312,21 @@ leo 2026-08-17 實測：文字層的閘那天 **8 次誤攔、0 次正確攔截*
 **紅線寫得越細，命中關鍵字的機率越高 ⇒ 那些閘在懲罰謹慎。**
 所以 E9 擋的是「長內容放錯地方」這個**動作**，處置是**導引**（移去 wiki 留指標），不是 reject。
 
+### 8.4 E12／E14：自造的「待驗單」機制已移除，改由 §16 原生三格承接（`ISEP#60`）
+
+`subagent-claim-worksheet.sh`（SubagentStop 產待驗單）與 `claim-verify-police.sh`
+（Stop 攔收工，待驗單還在就擋）這一對於 2026-08-27 整組移除。
+
+- **為什麼不是修它**：症狀是同一份待驗單重生三次、同內容兩個檔名；
+  但真正的問題是 D58——**待驗單是一張 markdown，沒有狀態、沒有持有人、沒有人會回頭看**，
+  必然退化成雜訊。Gitea 的 issue 三格本來就是為這件事做的。
+- **它守的東西現在由誰守**：見 §16（`ISEP#59`／PR #58）——子票相依回答「這件事存在嗎／做完了嗎」、
+  `s/*` tag 回答「它卡在哪一段」、指派回答「現在誰該動」。三格合起來覆蓋原本 E14
+  想擋的「subagent 空口宣稱」與 E12 想擋的「宣稱交付但沒人跟進」。
+- **現況誠實標記**：PR #58（§16 的落地）**尚未 merge**，所以 E12／E14 這一格目前是
+  「舊機制已拆、新機制已提案但未生效」的過渡態，不是「已有替代品在跑」。
+  #58 merge 前，這兩條暫時回到 ❌ 待建的實質狀態，即使表格欄位寫的是 ◐。
+
 ---
 
 ## 9. 本規範的迭代

docs/hooks-inventory.md

@@ -1,4 +1,4 @@
-# 48 支閘，白話盤點表
+# 52 支閘，白話盤點表
 
 > 回應 `inkstone/InkStoneCo#40`：「如果加入了，我應該可以白話文看到 hooks 的內容？」
 > 這份表就是那個「白話文」——不用點開任何 `.sh` 檔，一行看懂一支閘在管什麼。
@@ -7,15 +7,37 @@
 
 ## 一句話結論
 
-`hooks/` 底下有 **48 個 `.sh` 檔**，`hooks.json` 實際掛上 **58 條註冊**（同一支閘常被多種情境同時掛上）；
+`hooks/` 底下有 **52 個 `.sh` 檔**，`hooks.json` 實際掛上 **67 條註冊**（同一支閘常被多種情境同時掛上）；
 其中 **3 支檔案存在但沒被掛上**（2 支是待人填的空範本、1 支是刻意留著沒開的止血帶，見下面「未生效」表）。
 下面按「你會在什麼時候撞到它」分組，一支一行。
 
 > 🔴 **這兩個數字上一版是錯的（2026-08-26 實際數過才發現）**：本頁原本寫「43 個檔、53 條註冊」，
 > 而當時真實是 **45 個檔、55 條註冊**——中間有兩支閘進來時沒有回頭改這裡。
 > 現在的寫法是實際數出來的：
-> `ls hooks/*.sh | wc -l` ＝ 48；`hooks.json` 展開後的 command 條目 ＝ 58。
+> `ls hooks/*.sh | wc -l` ＝ 52；`grep -c '"command":' hooks/hooks.json` ＝ 67。
+> ⚠️ **冒號不能省**：`grep -c '"command"'`（沒冒號）會連 `"type": "command"` 一起數到，回 **120**。
+> 本頁 2026-08-27 之前寫的是沒冒號那版——**照著它跑會拿到一個跟本頁不符的數字**。
 > **一份會偷偷過期的盤點表，跟沒有盤點表差不多**——見本頁最後「怎麼跟實況對帳」那段。
+>
+> 📌 **`0.6.0`（`inkstone/ISEP#59`，2026-08-27）這兩個數字是併完之後當場數出來的**：
+> `ISEP#60` 移除了 `claim-verify-police.sh`／`subagent-claim-worksheet.sh` 這對自造機制（−2 支、−16 條），
+> `ISEP#58` 補進 `comment-carries-task-guard.sh`／`baton-handback-guard.sh`（＋2 支、＋8 條），
+> 加上 `ISEP#72` 的 `reply-identity-guard.sh` 已在 main 上。
+> 一加一減之後檔數不變、註冊條數落在 59——**這正是「不能靠加減推算、只能實數」的例子**：
+> 上一版寫 58，就是把兩批改動的加減兜出來、沒有真的數過。
+>
+> 📌 **`0.10.0`（`inkstone/ISEP#63`，2026-08-28）＋1 支、＋3 條**：
+> `countdown-guard.sh` 一支同時掛在 `UserPromptSubmit`（注入倒數）與 `Stop`（查核有沒有戴），
+> 加上 SessionStart 多掛一條 `scripts/countdown-milestone-refresh.sh`（更新期限快取，不是閘）。
+> **兩個事件是同一件事的兩半**：只注入 ＝ 又一個會被忽略的提醒；只查核 ＝ 罰它做一件拿不到資料的事。
+> 這兩個數字是併之前當場數出來的，不是從上一版加減推出來的。
+
+> 🔴 **`0.6.1`（2026-08-27）補回表格漏掉的兩列**：`isep-presence-beacon.sh`（E 組）、
+> `milestone-due-guard.sh`（A 組）。**標頭寫 48 支的同時，下面的表格只列得出 46 支**
+> ——數字是對的，人話少了兩行。發現的方法與防它再犯的指令，見下面「落差偵測」第二組 `comm`。
+>
+> 📌 **`0.7.0`（`inkstone/ISEP#30`，2026-08-27）進來一支**：`mainline-idle-guard.sh`（F 組，Stop）。
+> 48→**49** 支、59→**60** 條，兩個數字都是加完之後當場數出來的（指令同上）。
 
 ---
 
@@ -43,8 +65,11 @@
 | `not-my-branch-guard.sh` | AI 想 commit 到「別的 subagent 正在施工中」的分支（登記在 `branch-holds.md`）就擋下，避免兩個 AI 互踩同一條分支。 | 🛑 擋 |
 | `leo21c-write-guard.sh` | AI 想寫東西到你私人帳號 `leo21c` 就擋下——這個帳號只准你自己用，AI 的實驗一律走別的測試帳號。 | 🛑 擋 |
 | `release-tag-guard.sh` | AI 想打版本 tag，但 `plugin.json` 裡寫的版本號跟 tag 對不上就擋下——避免「這裡說 0.2.0、那裡說 0.1.0」各說各話。 | 🛑 擋 |
-| `ticket-api-bypass-guard.sh` | AI 想繞過 `scripts/ticket` 工具、直接打 API 開新 Gitea 票（會漏掉「開票前先搜過」這道檢查）就擋下。 | 🛑 擋 |
+| `ticket-api-bypass-guard.sh` | AI 想繞過 `scripts/ticket` 工具、直接打 API 新增 Gitea 東西（開新票／milestone／label／PR，會漏掉「新增前先搜過」這道檢查）就擋下——不管是隱式 POST（urllib 傳 data= 沒寫 method）還是小寫 `requests.post(...)`。 | 🛑 擋 |
+| `milestone-due-guard.sh` | AI 想開一個新的里程碑（milestone）卻沒填期限就擋下，**填 `9999-01-01` 一樣擋**——那是「沒有期限」穿了一件期限的衣服，盤點時每一格看起來都有值，其實一格都沒有。只管「建里程碑」這個動作，查詢／改別的欄位都放行。 | 🛑 擋 |
+| `reply-identity-guard.sh` | 直接打 Gitea API 貼留言到票上時，內文第一行沒有 `【身份】`（`總管`／`subagent`／`leo`）就擋下——票上多條線並行時，看不出哪一則是誰寫的。純讀取、走 `scripts/ticket` 正門、指令裡加 `reply-identity-ok` 都放行。 | 🛑 擋 |
 | `comment-carries-task-guard.sh` | AI 要在票裡留一則「等某某上線才驗得了」這種**還沒做完的事**，卻沒有把它開成一張子票時，擋一次。留言沒人會回頭讀，票的 open／closed 撈一次就看得到。 | 🛑 擋（同一輪只擋一次） |
+| `search-is-not-proof-guard.sh` | AI 用知識庫的**搜尋**找到一筆東西，然後把那筆東西的原始編號直接貼進票裡或派工單裡，當成「某個功能壞了」的證據——而它從沒用正規的檢索路徑去查過那筆——擋一次。你關心的是：不會再有人拿錯的方法量出一個錯的結論，然後退回一張其實已經做完的票。 | 🛑 擋（同一輪只擋一次） |
 
 ## B. AI 想寫檔案／改程式碼的當下（PreToolUse / Write·Edit·MultiEdit）
 
@@ -77,6 +102,7 @@
 | `micromanage-guard.sh` | 派工單寫得太細（指名檔案函式、編號步驟、要求每做一項回報一次…）就擋下——subagent 該被當成有能力的同事，不是照抄劇本的工具。 | 🛑 擋 |
 | `irreversible-dispatch-guard.sh` | 派工單裡出現「刪分支」「drop table」「rm -rf」這類不可逆動作，卻沒寫「先停下來等回覆才執行」就擋下。 | 🛑 擋 |
 | `no-ticket-no-dispatch.sh` | 派工單裡沒有寫工單號（`【工單】owner/repo#N`），或那張票已經關閉／根本不存在，就擋下——沒有票號的工作沒有人追得到進度。 | 🛑 擋 |
+| `dispatch-format-guard.sh` | **派工單 ＝ 票號，就這樣。** 票號以外還寫了別的東西（背景、驗收條件、紅線、交件方式、「這個 session 才知道的事」）就擋下，並告訴你那些內容該搬去哪：每次都一樣的 → 共通規定；這次才知道的 → **寫進那張票**。反過來，合規的派工它會**自動把共通規定注入**給收工方（交件方式、不准 push main、org 是 `inkstone`…），所以你不寫也不會漏。判準是「這一行是不是【工單】欄位」——**在不在**，不是寫了什麼，所以講得再謹慎也不會被多罰。純禮貌收尾（「謝謝」）不算違規；`（→ comment M）` 不論全形或半形括號都認得（ISEP#65 修過一次：CLAUDE.md 自己規定的合格寫法曾經被這支閘自己擋下）。 | 🛑 擋（＋注入） |
 
 ## D2. AI 想開口問你問題的當下（PreToolUse / AskUserQuestion）
 
@@ -94,6 +120,7 @@
 
 | 閘名 | 對你意味著什麼 | 動作 |
 |---|---|---|
+| `isep-presence-beacon.sh` | 對話一開始印一行 `🟢 ISEP vX.Y.Z 已載入（N 支閘｜來源：…）`。**這行不是裝飾，是唯一能證明「這個 session 真的有閘」的東西**——它自己就住在 plugin 裡，看得到它就表示 plugin 載入了；某個 session 從頭到尾沒有這行，那個 session 是零閘狀態，先修 plugin 再做事。同一台機器可能同時有兩份 ISEP（marketplace 裝的、repo 裡 vendor 的），所以那行會講出這次是哪一份在說話。 | 📝 記錄（context 注入） |
 | `session-start-recall.sh` | 對話一開始就自動把「全局現況」（Gitea 各 repo 的票、KBDB 的藏書地圖）推到 AI 眼前，不必等它自己想到要查。 | 📝 記錄（context 注入） |
 | `skill-deploy-drift-guard.sh` | 如果「全機真正在用的 skill」跟「repo 裡版控的正本」內容對不上，就在開場講出來——避免用著一份沒人知道已經跟正本分家的舊拷貝。 | 📝 記錄 |
 
@@ -104,21 +131,25 @@
 | `empty-handed-stop-guard.sh` | 這一輪 AI**一個動作都沒做**卻想停下來（等你回覆），就擋下並告訴它「你的命令就是完整授權，不用再等第二次確認」。 | 🛑 擋（至多攔一次） |
 | `worklist-guard.sh` | AI 自己列過的待辦清單裡還有沒做完的步驟，卻想收工寫報告，就擋下，逼它做完剩下的步驟。 | 🛑 擋 |
 | `factory-idle-guard.sh` | AI 該去派工卻沒派（工頭停工），就擋下要它交出「已經派工的憑證」，不是隨口說一句「我會催」就算數。**過閘有四條路：現在就派工／把票號寫進那句話／寫一行 `⏸ 等：<在等什麼>`／這一輪收尾在動作上。** 2026-08-23（inkstone/ISEP#30）修好「引用被當成主張」——貼原始碼、引用它自己的訊息、否認自己有下一步，都不再被咬。 | 🛑 擋 |
+| `mainline-idle-guard.sh` | AI **連續 4 個回合一直在查、一直在讀，卻什麼都沒交出去**（沒派工、沒改檔、沒寫回票）就擋一次。補的是上面兩支中間那一格：「沒動作」空手警察管、「說了下一步卻沒派」稼動率警察管，**而「有動作、但就是不說下一步」以前兩支都放行**。這支**一個字都不讀**，只看有沒有派工／產出／工作區變動。響過一次門檻就加倍（4→8→16），不會變成一直在響的警報。 | 🛑 擋（響過就退讓） |
+| `countdown-guard.sh` | **每一則回覆都自己說出「這件事已經花了多久／距今天收工線還剩多久」**，而且不必有人記得。一支閘掛兩個事件：你送出訊息時它先把算好的那一行放到 AI 眼前（`UserPromptSubmit`），AI 想收工時它再看這一回合的回覆裡到底有沒有那一行，沒有就擋一次要它補（`Stop`）。**只做前半 ＝ 又一個會被忽略的提醒**，所以兩半綁在一起。已過時間從**這段對話的第一則訊息**算起（＝一個 release 的起點）；收工線是台北 16:00，過線後四小時內顯示「已超過」，不會把超時悄悄換算掉。子 session、純工具回合、已經提醒過一次的，全部放行。 | 🛑 擋（至多攔一次） |
 | `browser-verify-guard.sh` | 這一輪 AI 宣稱「前端驗過了」，卻沒有真的用瀏覽器工具載入過，就擋下——`curl` 抓到 HTML 不算驗過。 | 🛑 擋 |
 | `self-drive-police.sh` | AI 想停下來問你「早就決定過的事」（用固定句型判斷，例如「要不要 X」「下一步做什麼」「這交給你」）就擋下，反問它查過 wiki／查過派工表了沒。 | 🛑 擋 |
 | `self-drive-judge.sh` | 跟上面同一件事，但改用小模型（haiku）判斷「換句話說」的請示句——防止 AI 只是把「要不要」改寫成「不確定是否符合期待」就閃過上一支閘。 | 🛑 擋 |
 | `delivery-police.sh` | AI 宣稱「這件事做完了」，卻看不到任何實測證據（畫面截圖、指令輸出、HTTP 狀態碼…）就擋下。 | 🛑 擋 |
 | `wiki-first-police.sh` | AI 做完事卻沒有把結論寫回 wiki 就想收工，就擋下——下次（或別的 AI）查 wiki 會查不到這次做過什麼。 | 🛑 擋 |
 | `unpushed-police.sh` | AI 改好的東西還留在本機、沒有真的推送出去給別人用，卻想收工，就擋下——「改對了但沒送到」跟沒改是一樣的。 | 🛑 擋 |
-| `claim-verify-police.sh` | Subagent 交回來的「我做完了」宣稱還沒被驗證過（對應的待驗檔案還在），你這邊卻想收工，就擋下。 | 🛑 擋 |
+
+> 🔴 **`claim-verify-police.sh` 已於 `inkstone/ISEP#60` 移除**（連同下面原本的 G 組 `subagent-claim-worksheet.sh`）。
+> 這一對是自造的「待驗單」機制（一張沒有狀態、沒有持有人的 markdown），違反 D58：
+> 不要硬做平台不支援的機制。它守的情境現在改由 Gitea 原生三格承接
+> （子票相依／`s/*` tag／指派——見 `inkstone/ISEP#59` 與 PR #58）。
 
 ## G. Subagent 把工作交回來的時候（SubagentStop）
 
-| 閘名 | 對你意味著什麼 | 動作 |
+`inkstone/ISEP#60` 之後，這個時機**沒有專屬掛載的閘**了（原本唯一的一支 `subagent-claim-worksheet.sh` 已移除）。
-|---|---|---|
+仍會掛到這個時機的是 `worklist-guard.sh`／`self-drive-police.sh`／`self-drive-judge.sh`／`delivery-police.sh`／`wiki-first-police.sh`／`unpushed-police.sh`，
-| `subagent-claim-worksheet.sh` | Subagent 一交回工作，就自動把它宣稱做了什麼寫成一張「待驗清單」檔案——之後總管收工前，`claim-verify-police.sh` 會檢查這張清單有沒有被處理掉。 | 📝 記錄 |
+行為跟上面 F 組完全一樣，只是對象換成「subagent 交回來的這一輪」。詳見「重複掛載」一節。
-
-> 這個時機還掛了 `worklist-guard.sh`／`self-drive-police.sh`／`self-drive-judge.sh`／`delivery-police.sh`／`wiki-first-police.sh`／`unpushed-police.sh`，行為跟上面 F 組完全一樣，只是對象換成「subagent 交回來的這一輪」。詳見「重複掛載」一節。
 
 ## H. 動作做完之後，純粹記一筆（PostToolUse，全部不擋）
 
@@ -128,6 +159,7 @@
 | `subagent-first-stamp.sh` | AI 真的派過工之後，留一個時間戳——給 `subagent-first-guard.sh` 判斷用。 | 📝 記錄 |
 | `issue-status-autoflip.sh` | AI 一派工出去，就自動把對應的 Gitea 票改成「進行中（s/doing）」，不必等人手動改標籤。 | 📝 記錄（自動改票） |
 | `baton-handback-guard.sh` | 一條派工線做完了，就去看它那張票有沒有**指派給人／標籤有沒有說它卡在哪／有沒有寫下一步**，缺哪一格就當場說出來。你關心的是：不會再有票做完了卻沒人接手，躺在那裡沒人發現。 | 📝 記錄（提醒，不擋） |
+| `kbdb-evidence-stamp.sh` | AI 每次去知識庫拿資料，就記一筆「這是**搜尋**搜到的，還是**走正規檢索路徑**拿到的」。你關心的是：它等一下要拿這筆資料下結論時，有東西可以對照它走的是哪條路。 | 📝 記錄 |
 
 ## I. 你會撞到但跟「派工／收工」無關的一支（Edit·MultiEdit）
 
@@ -166,7 +198,62 @@ $ comm -13 /tmp/fs_hooks.txt /tmp/registered_hooks.txt
 （無輸出）
 ```
 
-**這次順便抓到的另一個落差**：`.claude-plugin/plugin.json` 的說明文字寫「42 支機械閘（52 條註冊）」，
+🔴 **上面那兩行驗不出「表格漏列」**——它們比的是 `hooks.json`，不是這張表。
+「有閘、但這頁沒有它那一行人話」要另外一組指令才看得見，就是下面這組
+（2026-08-27 就是靠它抓到本頁漏了 `isep-presence-beacon.sh`／`milestone-due-guard.sh` 兩列）：
+
+```
+$ ls hooks/*.sh | xargs -n1 basename | sort > /tmp/inv_fs.txt
+$ grep -oE '^\| `[a-zA-Z0-9_.-]+\.sh`' docs/hooks-inventory.md \
+    | grep -oE '[a-zA-Z0-9_.-]+\.sh' | sort -u > /tmp/inv_table.txt
+
+# 有這支閘、但這頁沒有它那一列 → 要補人話
+$ comm -23 /tmp/inv_fs.txt /tmp/inv_table.txt
+（無輸出）
+
+# 這頁列了、但檔案已經不在了 → 要刪那一列
+$ comm -13 /tmp/inv_fs.txt /tmp/inv_table.txt
+（無輸出）
+```
+
+🔴 **`^\| \`` 這個錨點不能拿掉**——它的意思是「**這一行的第一欄就是這支閘**」，
+也就是「表格真的列了它」。把錨點拿掉、改成抓全頁所有反引號裡的 `*.sh`，
+反向那半會吐出 **3 個假警報**（2026-08-27 實跑）：
+
+```
+claim-verify-police.sh        ← 出現在「已於 ISEP#60 移除」那段**移除紀錄**裡
+subagent-claim-worksheet.sh   ← 同上
+github-arm.sh                 ← 它在 `scripts/`，不在 `hooks/`；是 github-contact-guard
+                                 那一列裡告訴你「怎麼解鎖」的逃生口
+```
+
+**三個都不是幽靈，三個都不該刪**：刪掉前兩個等於刪掉「G 組為什麼是空的」這段歷史，
+刪掉第三個等於讓那一列不再告訴你怎麼過閘。
+⇒ **0 次正確攔截、3 次誤攔**——照這個訊號去改，會把好東西改壞。
+
+那「頁面上出現了一個根本不存在的檔名」怎麼辦？**那要另外一格量，而且判準不是文字是事實**：
+
+```
+# C. 頁面提到的每個 *.sh，現在存在，或者 git 歷史裡存在過
+$ for n in $(grep -oE '`[a-zA-Z0-9._-]+\.sh`' docs/hooks-inventory.md | tr -d '`' | sort -u); do
+    [ -f "hooks/$n" ] || [ -f "scripts/$n" ] && continue
+    [ -n "$(git log --all --oneline --diff-filter=AD -- "hooks/$n" "scripts/$n")" ] && continue
+    echo "$n"
+  done
+（無輸出）
+```
+
+**「現在沒有、但曾經有」＝歷史，合法；「從來沒有過」＝打錯字或憑空捏造，才是幽靈。**
+這一格問的是 git，不是問這頁的用字，所以它不會因為誰換個寫法就失效。
+
+📌 **三格都要跑，而且它們量的是不同東西**：
+A1 缺人話、A2 表格有幽靈、C 全頁有幽靈。
+**標頭的 48／59 對不代表這頁沒漏**——補進 2 支真的、同時留著 2 支假的，數字照樣湊得到 48。
+**數量相等不等於集合相等**，所以驗的一律是集合（`comm`），不是 `wc -l`。
+
+**這次順便抓到的另一個落差**（🕐 **這一段是 2026-08-20 的快照，裡面每個數字都是那天的，不是現況**——
+留著是因為它是「兩份文件的數字不會自己跟上」這個病的第一個案例；現況數字看本頁標頭）：
+`.claude-plugin/plugin.json` 的說明文字寫「42 支機械閘（52 條註冊）」，
 `README.md` 也寫「42 支 ＋ `hooks.json`」「共 52 條註冊」——但實測是 **43 支檔案、53 條註冊**。
 差 1 支、差 1 條，猜測是今天（2026-08-20）新增的 `leo21c-write-guard.sh`／`release-tag-guard.sh`／
 `ticket-api-bypass-guard.sh` 這批（檔頭日期都是今天）加了之後，兩份文件的數字沒有跟著更新。
@@ -185,6 +272,7 @@ $ comm -13 /tmp/fs_hooks.txt /tmp/registered_hooks.txt
 | `arcrun-intent-guard.sh` | 2 次 | 一次守「所有寫檔案」，一次專門加強守「呼叫 Arcrun 部署/驗證工具」這個更精準的情境 |
 | `micromanage-guard.sh` / `irreversible-dispatch-guard.sh` / `no-ticket-no-dispatch.sh` | 各 2 次 | 各自同時掛在 `Task` 與 `Agent` 兩個矩比對名稱上——這兩個名稱應該是同一種派工動作的新舊叫法，兩個都掛保證不漏接 |
 | `worklist-guard.sh` / `self-drive-police.sh` / `self-drive-judge.sh` / `delivery-police.sh` / `wiki-first-police.sh` / `unpushed-police.sh` | 各 2 次 | 一次守「總管自己想收工」（Stop），一次守「subagent 交回工作」（SubagentStop）——同一套判準用在兩種角色身上 |
+| `search-is-not-proof-guard.sh` | 3 次 | 拿搜尋結果當證據的那個動作，可能是「貼進票裡」（Bash），也可能是「寫進派工單發包出去」（`Task`／`Agent` 兩個名稱各掛一次），三種都要接住 |
 
 ❓ **這裡有一件我看不出來是刻意還是遺留、需要人判斷**：`micromanage-guard.sh`／`irreversible-dispatch-guard.sh`／`no-ticket-no-dispatch.sh`
 三支都**同時**掛在 `Task` 跟 `Agent` 這兩個矩比對名稱上。如果這兩個名稱在目前版本的 Claude Code 裡指的是「同一種派工工具呼叫」，
@@ -221,12 +309,16 @@ $ comm -13 /tmp/fs_hooks.txt /tmp/registered_hooks.txt
 - **`micromanage-guard.sh`／`irreversible-dispatch-guard.sh`／`no-ticket-no-dispatch.sh` 的雙重矩比對（`Task` + `Agent`）是刻意保險還是舊名稱沒清掉**——見上面「重複掛載」段落，我沒有把握單靠讀檔案判斷，需要看實際觸發紀錄或問總管。
 - **`stage-before-prod-guard.sh` 跟 `main-and-prod-push-guard.sh` 的分工邊界**：`main-and-prod-push-guard.sh` 的檔頭明講自己是在「補 `stage-before-prod-guard.sh` 的破口」（那支只認 3 個關鍵字，抓不到 `wrangler deploy`），但兩支都還掛著、都還在管「prod 出貨」這件事。這是「新的補洞、舊的continua」還是「舊的該退休了」，這份盤點表不下判斷，留給你在下一步的分類會議裡定奪。
 
-除了以上兩點，其餘 41 支的行為都能從檔頭與源碼直接讀出，沒有「猜」的部分。
+除了以上兩點，其餘各支的行為都能從檔頭與源碼直接讀出，沒有「猜」的部分。
+
+> 📌 這句話原本寫「其餘 **41** 支」——那是 43 支閘那一版（`v0.2.1`）數的，之後沒有人重跑過。
+> 2026-08-27 把數字拿掉而不是改成 46：**改成 46 等於宣稱我逐支重讀過源碼，而我沒有。**
+> 要恢復一個數字，就重跑一次上面「抽驗」那件事，然後把當天的日期寫上去。
 
 ---
 
 ## 這份表怎麼跟實況對帳（半年後怎麼發現漂移）
 
-1. **有沒有新閘沒被收進這張表**：跑本文「落差偵測」段落的兩行 `comm` 指令，比對 `hooks/*.sh` 的檔名清單跟這張表列出的閘名清單（不是跟 `hooks.json`，那個只驗證有沒有註冊，驗不了有沒有寫進這張人話表）。
+1. **有沒有新閘沒被收進這張表**：跑本文「落差偵測」段落**第二組**（`inv_fs` vs `inv_table` 的兩行 `comm`）**加第三格 C**，比對 `hooks/*.sh` 的檔名清單跟這張表列出的閘名清單。**不是第一組**——第一組比的是 `hooks.json`，只驗證有沒有註冊，驗不了有沒有寫進這張人話表。2026-08-27 漏掉的那兩列，第一組是綠的、第二組才紅。**抓表格列的那組 `grep` 一定要帶 `^\| \`` 錨點**，理由與拿掉之後會冒出的 3 個假警報，就寫在那一段裡。
 2. **有沒有閘的行為跟這裡寫的不一樣了**：抽幾支重新讀一次源碼，跟這裡的「一句話」對一遍——就是本文「抽驗 5 支」做的事，可以照同樣方法定期重做。
 3. **`.claude-plugin/plugin.json` 與 `README.md` 的數字**：這兩處各自寫了一次「幾支、幾條註冊」，前面已經抓到一次對不上（42/52 vs 實際 43/53）。這兩個數字沒有機制保證跟著 `hooks/` 目錄自動更新，是本表發現的第一個具體漂移案例。

hooks/claim-verify-police.sh

@@ -1,82 +0,0 @@
-#!/usr/bin/env bash
-# claim-verify-police.sh — 待驗工作單還在，就不准收工（Stop；leo 2026-08-18 立）
-#
-# 這支是 subagent-claim-worksheet.sh 的另一半。
-# 那支在 SubagentStop 時把 subagent 的宣稱寫成一張檔案；這支在我要停下時檢查：
-#
-#     **那張檔還在不在？**
-#
-# ── 為什麼判準是「檔案存不存在」 ────────────────────────────────────
-# leo 2026-08-17：「你在**文字層**封路⋯⋯自然語言的變體是無限的，blacklist 永遠追不完。
-#                   封路哲學之所以有效，是因為它封的是**動作**——動作有限且可枚舉。」
-# ⇒ 「我驗過了」這句話可以有無限種寫法，但**檔案只能被動作刪掉**。
-#   所以這支不讀我的措辭，只看磁碟。
-#
-# ── 怎麼過這道閘（都是動作，都留痕）─────────────────────────────────
-#   ① 真的驗了 → 把證據寫進回覆／票，然後刪掉那個檔
-#   ② 有幾條不需要驗 → 在檔裡寫下理由，再刪掉（理由留在 git 或票上）
-#   ③ 是人閘 → 走三件機械動作（Human ＋ 指派 ＋ 它自己的票），再刪掉
-#
-# 🔴 **不准為了過閘而直接 rm 掉卻什麼都沒做。** 那等於自己拆掉自己的閘——
-#    而這正是 leo 2026-08-10 說的「規則早就存在，但沒有任何機制驗證有沒有照做」。
-#
-# ── 迴圈安全 ────────────────────────────────────────────────────
-# stop_hook_active 為真 ⇒ 已經擋過一次，放行。至多提醒一次，不卡死。
-#
-# ── 留痕 ────────────────────────────────────────────────────────
-INPUT=$(cat)
-DIR="$CLAUDE_PROJECT_DIR/.claude/pending-verification"
-LOG="$CLAUDE_PROJECT_DIR/.claude/hooks/claim-verify-police.log"
-
-ACTIVE=$(printf '%s' "$INPUT" | python3 -c '
-import json,sys
-try: print("1" if json.load(sys.stdin).get("stop_hook_active") else "0")
-except Exception: print("0")
-' 2>/dev/null)
-
-if [ "$ACTIVE" = "1" ]; then
-  printf '%s\tSKIP:already-nudged\n' "$(date +%FT%T)" >> "$LOG" 2>/dev/null
-  exit 0
-fi
-
-# 只算「今天以內」的單子——放太久的（跨 session 殘留）不該無限期卡住新工作，
-# 但仍會被列出來提醒。
-FILES=$(ls -1 "$DIR"/claims-*.md 2>/dev/null)
-if [ -z "$FILES" ]; then
-  printf '%s\tSKIP:no-pending\n' "$(date +%FT%T)" >> "$LOG" 2>/dev/null
-  exit 0
-fi
-
-N=$(printf '%s\n' "$FILES" | grep -c . )
-printf '%s\tBLOCK:%s-pending\n' "$(date +%FT%T)" "$N" >> "$LOG" 2>/dev/null
-
-{
-  echo "🔍 查證警察：有 $N 張**待驗工作單**還沒處理掉，不准收工。"
-  echo
-  echo "【leo 2026-08-18 的規格】"
-  echo "  「subagent 做完事⋯⋯**它說可以，你去驗證；它說不行，你想辦法，不行再報告**，"
-  echo "   這解決一半的未查證。你常常直接把 subagent 說的不經查證就回報，"
-  echo "   **它視野小，它說的你有更多資訊去檢驗。**」"
-  echo
-  echo "━━ 還沒處理的單子 ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━"
-  printf '%s\n' "$FILES" | while read -r f; do
-    [ -n "$f" ] || continue
-    OKN=$(grep -c '^- \[ \]' "$f" 2>/dev/null)
-    echo "  · ${f#"$CLAUDE_PROJECT_DIR"/}　（$OKN 條待處理）"
-  done
-  echo
-  echo "━━ 怎麼過這道閘（三選一，都是動作）━━━━━━━━━━━━━━━━━━"
-  echo "  ① **它說可以** → 你自己跑一次（測試／curl／瀏覽器／git），把證據貼出來，再刪掉那個檔"
-  echo "  ② **它說不行** → 先換路徑、查憑證地圖；要說「被擋」就得**自己撞一次並貼拒絕原文**"
-  echo "  ③ **真的是人閘** → 三件機械動作：\`Human\` 標籤 ＋ 指派給 Leo ＋ **一張它自己的票**"
-  echo "     （leo 08-18：「要進入人閘，標示 human 叫我去開，**不是默默塞進錯的地方**」）"
-  echo
-  echo "🔴 **不准只是 rm 掉了事。** 那是自己拆掉自己的閘——"
-  echo "   正是 leo 08-10 講的「規則早就存在，但沒有任何機制驗證有沒有照做」。"
-  echo
-  echo "📌 為什麼有這道閘：2026-08-18 總管連續三次把**沒驗過的判斷**當成情報交出去，"
-  echo "   其中第二次還是為了「更正」第一次而發明的新猜測。"
-  echo "   leo：「你給我不正確的資訊⋯⋯subagent 說不通你沒有驗。」"
-} >&2
-
-exit 2

hooks/countdown-guard.sh

@@ -0,0 +1,182 @@
+#!/usr/bin/env bash
+# countdown-guard.sh — 每一則回覆都自己說出「已經花了多久／還剩多久」
+#                      （inkstone/ISEP#63，leo 2026-08-27＋08-28 兩次下令）
+#
+# ── 為什麼是一支閘，不是一句叮嚀 ──────────────────────────────────────
+# leo 2026-08-27：「前面說過每個回覆要戴上已經花了總時長，**這為什麼沒出現？**」
+#                 「這應該寫在 ISEP，隨時看自己拖了多久」
+# 總管當時答「我沒做，現在開始戴」——**而那正是這條規則第一次失效的方式**：
+# 靠記性的規則，下一個 session 就沒有了（history-first／KBDB-first／stage-first
+# 全是同一個形狀）。⇒ 判準：**一個新開的 session，什麼都沒被交代，回覆裡照樣有時長。**
+#
+# ── 兩段，缺一不可（票上點名的失效模式就在這裡）───────────────────────
+# 票上寫得很清楚：「**注入了但模型沒照做**是這類機制的主要失效模式」。
+# 所以這支同時掛兩個事件，是**同一件事的兩半**：
+#
+#   ① UserPromptSubmit ── 注入：把算好的那一行送到眼前（模型不必自己算、也算不準）
+#   ② Stop            ── 查核：這一回合的回覆裡到底有沒有那一行；沒有就擋一次
+#
+# 只有 ① ＝ 又一個會被忽略的提醒（本 repo 心法第 2 條明令不要做這種東西）。
+# 只有 ② ＝ 罰它做一件它拿不到資料的事。兩段合起來才是一條走得通的路。
+#
+# ── 🔴 這不是關鍵字黑名單（leo 2026-08-17 的診斷）────────────────────
+# 「自然語言的變體是無限的，blacklist 永遠追不完……封路哲學之所以有效，
+#   是因為它封的是**動作**——動作有限且可枚舉，文字不是。」
+# 當日實測：文字層的閘 **8 次誤攔、0 次正確攔截**，且方向穩定。
+#
+# 本支查的**不是「有沒有講某些不該講的話」，而是「那個被要求的輸出元素在不在」**：
+#   一個由機器產生、只有一個字元的標記（`⏱`），值是機器算的，模型抄過去。
+#   ⇒ 沒有「換個講法就閃過」的空間（換講法照樣要帶標記），
+#     也沒有「講到某個詞就被咬」的誤攔（多寫什麼都不會觸發）。
+#   ⇒ 這是 whitelist-of-one：**要求一個東西在場**，不是**猜哪些東西不該在場**。
+#
+# ── 誤攔的出口都先關掉（誤攔比漏擋更該修）────────────────────────────
+#   · 子 session（subagent）不查——它的回覆不是給 leo 看的
+#   · 這一回合沒有任何文字輸出（純工具回合）不查——沒有東西可以戴
+#   · `stop_hook_active` 為真＝已經提醒過一次 ⇒ 放行，**至多擋一次，不會卡死**
+#   · 讀不到 transcript／內部出錯 ⇒ 放行（這支是節拍器，不是安全閘，
+#     它壞掉不該讓整個 session 停下來）
+set -uo pipefail
+
+INPUT="$(cat)"
+HERE="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
+LIB="$HERE/lib/countdown.py"
+[ -f "$LIB" ] || exit 0
+
+EVENT=$(printf '%s' "$INPUT" | python3 -c '
+import sys, json
+try: print(json.load(sys.stdin).get("hook_event_name", "") or "")
+except Exception: print("")
+' 2>/dev/null || printf '')
+
+# ══ ① 注入模式（UserPromptSubmit）═════════════════════════════════════
+if [ "$EVENT" = "UserPromptSubmit" ]; then
+  printf '%s' "$INPUT" | ISEP_COUNTDOWN_LIB="$LIB" python3 -c '
+import json, os, sys, importlib.util
+
+spec = importlib.util.spec_from_file_location("countdown", os.environ["ISEP_COUNTDOWN_LIB"])
+cd = importlib.util.module_from_spec(spec); spec.loader.exec_module(cd)
+
+try: d = json.load(sys.stdin)
+except Exception: d = {}
+try:
+    stamp = cd.line(d.get("session_id") or "", d.get("transcript_path") or "")
+except Exception:
+    raise SystemExit(0)          # 算不出來就不出聲，不要讓它變成噪音
+
+ctx = (
+    stamp + "\n\n"
+    "🔴 這一行是 ISEP 的倒數（inkstone/ISEP#63）。**把它原樣放在你這則回覆的最前面**，"
+    "數字不要自己重算、也不要改寫措辭——它是機器算的，你算的會漂。\n"
+    "leo 整天上課、一天只看兩眼：沒有這行，他就不知道『這件事還來得及嗎』。\n"
+    "收工前這一回合若沒有戴上它，Stop 那一半會擋一次要你補。"
+)
+print(json.dumps({
+    "hookSpecificOutput": {
+        "hookEventName": "UserPromptSubmit",
+        "additionalContext": ctx,
+    }
+}, ensure_ascii=False))
+' 2>/dev/null || true
+  exit 0
+fi
+
+# ══ ② 查核模式（Stop）═════════════════════════════════════════════════
+# 子 session 不查：subagent 的回覆是交給總管的，不是給 leo 看的那一則。
+[ "${CLAUDE_CODE_CHILD_SESSION:-}" = "1" ] && exit 0
+
+LOG="${CLAUDE_PROJECT_DIR:-$PWD}/.claude/hooks/countdown-guard.log"
+
+VERDICT=$(printf '%s' "$INPUT" | ISEP_COUNTDOWN_LIB="$LIB" python3 -c '
+import json, os, sys, importlib.util
+
+spec = importlib.util.spec_from_file_location("countdown", os.environ["ISEP_COUNTDOWN_LIB"])
+cd = importlib.util.module_from_spec(spec); spec.loader.exec_module(cd)
+
+try: d = json.load(sys.stdin)
+except Exception:
+    print("SKIP:bad-json"); raise SystemExit
+
+if d.get("stop_hook_active"):
+    print("SKIP:already-nudged"); raise SystemExit   # 至多擋一次
+
+tp = d.get("transcript_path") or ""
+if not tp or not os.path.exists(tp):
+    print("SKIP:no-transcript"); raise SystemExit
+
+rows = []
+try:
+    with open(tp) as f:
+        for ln in f:
+            ln = ln.strip()
+            if ln:
+                try: rows.append(json.loads(ln))
+                except Exception: pass
+except Exception:
+    print("SKIP:unreadable"); raise SystemExit
+
+# 這一回合＝最後一則「真的來自使用者」的訊息之後（工具結果不算使用者說話）
+start = 0
+for i, r in enumerate(rows):
+    if r.get("type") == "user":
+        c = (r.get("message") or {}).get("content")
+        blocks = c if isinstance(c, list) else [{"type": "text"}]
+        if not any(isinstance(b, dict) and b.get("type") == "tool_result" for b in blocks):
+            start = i
+turn = rows[start:]
+
+texts = []
+for r in turn:
+    if r.get("type") != "assistant":
+        continue
+    c = (r.get("message") or {}).get("content")
+    if isinstance(c, str):
+        texts.append(c); continue
+    if not isinstance(c, list):
+        continue
+    for b in c:
+        if isinstance(b, dict) and b.get("type") == "text":
+            texts.append(b.get("text") or "")
+
+body = "\n".join(t for t in texts if t and t.strip())
+if not body:
+    print("SKIP:no-text"); raise SystemExit    # 純工具回合，沒有東西可以戴
+
+if cd.MARKER in body:
+    print("OK"); raise SystemExit
+
+try:
+    stamp = cd.line(d.get("session_id") or "", tp)
+except Exception:
+    print("SKIP:no-stamp"); raise SystemExit
+print("MISSING:" + stamp)
+' 2>/dev/null || echo "SKIP:crash")
+
+STAMP_LINE="${VERDICT#MISSING:}"
+NOW=$(date "+%Y-%m-%d %H:%M:%S" 2>/dev/null || echo "?")
+mkdir -p "$(dirname "$LOG")" 2>/dev/null || true
+
+case "$VERDICT" in
+  MISSING:*)
+    printf '| %s | ⛔ 擋下 | 回覆沒有倒數 |\n' "$NOW" >> "$LOG" 2>/dev/null || true
+    {
+      printf '⏱ 倒數警察：**這則回覆沒有戴上倒數**（inkstone/ISEP#63）\n\n'
+      printf 'leo 2026-08-27：「前面說過每個回覆要戴上已經花了總時長，**這為什麼沒出現？**」\n'
+      printf '        08-28：「先完成倒數計時器，**每一次回覆都發倒數**」\n\n'
+      printf '把這一行原樣放在回覆最前面，再送一次（數字已經幫你算好，不要自己重算）：\n\n'
+      printf '    %s\n\n' "$STAMP_LINE"
+      printf '為什麼非戴不可：leo 整天上課、一天只看兩眼。沒有這行，他看不出\n'
+      printf '「這件事花了不該花的時間」——而那正是他要這個東西的全部理由。\n\n'
+      printf '本閘**至多擋一次**（stop_hook_active 之後放行），不會卡死。\n'
+    } >&2
+    exit 2
+    ;;
+  OK)
+    printf '| %s | ✅ 放行 | 有倒數 |\n' "$NOW" >> "$LOG" 2>/dev/null || true
+    exit 0
+    ;;
+  *)
+    printf '| %s | ⚪ 略過 | %s |\n' "$NOW" "$VERDICT" >> "$LOG" 2>/dev/null || true
+    exit 0
+    ;;
+esac

hooks/dispatch-format-guard.sh

@@ -0,0 +1,189 @@
+#!/usr/bin/env bash
+# 管什麼: 派工單裡除了【工單】票號以外還有別的內容就擋；合規的派工則自動注入共通規定。
+# 為什麼: 任務寫在 prompt 裡 => 票上看不到、agent 一停就蒸發；散文沒有欄位 => 警察抓不到。
+# 誤觸時怎麼關: 把內容歸位（每次都一樣的→共通規定；這次才知道的→寫進票），或 touch /tmp/.dispatch-ok-<session_id> 放行一次。
+#
+# dispatch-format-guard.sh — PreToolUse（Task｜Agent）：**派工單 ＝ 票號。就這樣。**
+#
+# ━━ 來由（leo 2026-08-27，inkstone/ISEP#30 comment 4322 / 4325 / 4327）━━━━
+#
+#   他貼回總管派給 Arcrun#142 那條線的 prompt，問：
+#     「**這些話票上都沒有，你根本沒照規則做事，你的 hook 讓你這樣搞？**」
+#     「執行的不是你，你去派工，它才知道問題，**你寫診斷意義是什麼？不就是假的？**」
+#
+#   實查：`no-ticket-no-dispatch.sh` 驗的是「派工單裡有沒有一行【工單】owner/repo#N」。
+#   ⇒ 所以可以**把 40 行任務全寫在 prompt 裡、票號補一行**，閘照樣放行。
+#   ⇒ 2026-08-27 一天之內這樣做了 5 次（arcrun-rag#104／Arcrun#142／Arcrun#127／
+#     Arcrun#144／InkStoneCo#55），每一次票上都沒有那份任務。
+#   ⇒ **規則存在，閘只驗了它的殼。**（同款第 N 次：history-first／KBDB-first／
+#     stage-first／AskUserQuestion 裸奔，全是這個形狀。）
+#
+#   4325 追加：「你用一個 **output parser** 把你給 subagent 的指令規範，**分作幾點，
+#   每一點規定格式**，**照這種散文寫法根本無法迭代**」「**警察也不能抓**」。
+#   4327 收斂到最後一步：「**交件方式不需要寫，定義在原則裡**⋯⋯每次都一樣提取出來
+#   變成共通規定」＋（對「這是 session 才知道的事」的回應）「**這些為什麼不寫到票裡？**」
+#
+#   ⇒ 派工單裡想寫的東西只有兩種，兩種都不該留在派工單：
+#       每次都一樣  → 共通規定（本閘自動注入，見下）
+#       這次才知道  → **寫進那張票**
+#     判準：**「這句話換一張票還成立嗎？」**
+#
+# ━━ 為什麼是結構閘，不是關鍵字閘（leo 2026-08-17 的檢驗）━━━━━━━━━━━━
+#   「你在**文字層**封路⋯⋯『回「做」我就啓動』沒有問號，下次它會寫『準備就緒』⋯⋯
+#     **自然語言的變體是無限的，blacklist 永遠追不完。**
+#     封路哲學之所以有效，是因為它封的是**動作**——動作有限且可枚舉，文字不是。」
+#   當日實證：文字層的閘 8 次誤攔、0 次正確攔截，且方向穩定——
+#   **紅線寫得越細，命中關鍵字的機率越高 ⇒ 那些閘在懲罰謹慎。**
+#
+#   本閘怎麼過這個檢驗：
+#     · 判準是**「這一行是不是【工單】欄位」**——在不在，不是寫什麼。
+#       整條路徑（hooks/lib/dispatch_parse.py）**零個「命中某個詞就違規」的比對**。
+#     · ⇒ 措辭再謹慎也不會被多罰；改寫成別的講法也閃不過去。文字層閘的兩個病都沒有。
+#     · 也**不需要語意判官**：這條規則本來就是結構性的，用不著 LLM，
+#       於是它免費、瞬間、每次結果一樣（比 ask-user-question-guard 更硬的一種閘）。
+#
+# ━━ 這支同時做兩件事 ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+#   ① **擋**：【工單】以外有實質內容 → exit 2，並指出那些內容該搬去哪一格
+#   ② **注入**：合規的派工 → exit 0 並用 hookSpecificOutput 把共通規定送給收工方
+#      （慣例同 subagent-wiki-guard.sh）。
+#      ⇒ 這是「派工單只剩票號」能成立的前提：交件方式、不准 push main、org 是 inkstone…
+#        **不必有人記得寫**，機器每次都補。
+#        leo 的驗收條件之一就是「收工方**沒讀派工單**也知道要貼回原票」。
+#
+# ━━ 邊界（刻意不管的事）━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+#   · 派工單裡**沒有**【工單】 → 本閘閉嘴，那是 no-ticket-no-dispatch.sh 的地盤。
+#     兩支閘同時開口，收工方會拿到兩份互相打架的教學。
+#   · 票存不存在、關了沒 → 也是那一支在驗，本閘不重複打 Gitea（本閘不連網）。
+#
+# 逃生口（留痕、用完即丟，慣例同 micromanage-guard.sh／ask-user-question-guard.sh）：
+#     touch /tmp/.dispatch-ok-<session_id>
+#   閘是絆一下逼你重想，不是把人關起來。
+#
+# 測試：hooks/tests/dispatch-format-guard.test.sh（離線、不打網路、不花錢）
+set -u
+
+INPUT="$(cat)"
+HERE="$(cd "$(dirname "${BASH_SOURCE[0]:-$0}")" && pwd)"
+
+FACTS="$(printf '%s' "$INPUT" | python3 "$HERE/lib/dispatch_parse.py" dispatch 2>/dev/null)"
+[ -n "$FACTS" ] || exit 0   # parser 掛了 → fail-open（回到「沒有這支閘」的狀態）
+
+STATUS="$(printf '%s' "$FACTS" | python3 -c '
+import sys, json
+try: print(json.load(sys.stdin).get("status", "skip"))
+except Exception: print("skip")
+' 2>/dev/null)"
+[ "$STATUS" = "ok" ] || exit 0
+
+SESSION="$(printf '%s' "$FACTS" | python3 -c '
+import sys, json
+try: print(json.load(sys.stdin).get("session_id", ""))
+except Exception: print("")
+' 2>/dev/null)"
+
+NVIOL="$(printf '%s' "$FACTS" | python3 -c '
+import sys, json
+try: print(len(json.load(sys.stdin).get("violations", [])))
+except Exception: print(0)
+' 2>/dev/null)"
+
+# ── 明示豁免（留痕用，用掉就消失，不是永久開關）────────────────────────
+if [ "$NVIOL" != "0" ] && [ -n "$SESSION" ] && [ -f "/tmp/.dispatch-ok-$SESSION" ]; then
+  rm -f "/tmp/.dispatch-ok-$SESSION"
+  NVIOL=0
+fi
+
+if [ "$NVIOL" != "0" ]; then
+  # 訊息用 quoted heredoc（裡面有反引號，不能讓 shell 當命令替換執行掉），
+  # 佔位符交給 python 換——sed 對正體中文與特殊字元的跳脫太脆。
+  # （2026-08-26 ask-user-question-guard 真的犯過：訊息裡的反引號被當命令跑，
+  #   閘照擋，但**它教人怎麼解的那兩行變成空白**，等於沒有出路。）
+  MSG="$(cat <<'EOF'
+🚫 派工單 ＝ 票號。就這樣。（leo 2026-08-27，inkstone/ISEP#30 comment 4327）
+
+__VIOLATIONS__
+
+━━ 這些內容該去哪：問一句「**這句話換一張票還成立嗎？**」━━━━━━━━━━
+
+  還成立   ⇒ **共通規定**（交件方式、不准 push main、org 是 inkstone、先讀 CLAUDE.md…）
+             改 `docs/governance/dispatch-and-reply-format.md` 的 §2，
+             **本閘每次派工都會自動注入給收工方**，你不必寫、也不會漏。
+
+  只有這次 ⇒ **寫進那張票**（main 是哪顆、今天撞過什麼、另一條線在動什麼）
+             `scripts/ticket say <owner/repo#N> -F <檔>`
+             然後派工單寫 `【工單】<owner/repo#N> → comment <剛拿到的號碼>`
+
+  🔴 **「票上還沒有」不是把它寫進 prompt 的理由——它就是「去把它寫上票」的指令。**
+     leo 2026-08-27：「**這些為什麼不寫到票裡？**」
+     寫進 prompt 的後果：agent 被停掉或換人接手，那段事實隨 prompt 一起蒸發。
+     當天實害：總管停掉重派 3 次，前兩次的任務與 session 事實**全部消失**。
+
+━━ 合格的派工單長這樣（整份，沒有省略）━━━━━━━━━━━━━━━━━━━━━
+
+    【工單】inkstone/ISEP#30 → comment 4322
+
+━━ 為什麼連「一句叮嚀」都不行 ━━━━━━━━━━━━━━━━━━━━━━━━━━━
+  leo 2026-08-27：「**交件方式不需要寫，定義在原則裡，每張票都要做這件事⋯⋯
+                    每次都一樣提取出來變成共通規定**」
+  你多寫的每一句，都是在造第二份會漂的真相；而收工方讀到的是**你的轉述**，
+  不是票上的原始證據。
+
+真的有例外 → `touch /tmp/.dispatch-ok-__SESSION__` 後重送（用掉就消失，會留在指令歷史上）。
+EOF
+)"
+  VIOL_TEXT="$(printf '%s' "$FACTS" | python3 -c '
+import sys, json
+try:
+    d = json.load(sys.stdin)
+except Exception:
+    d = {}
+lines = []
+for v in d.get("violations", []):
+    lines.append("  ❌ %s：%s" % (v.get("code", ""), v.get("detail", "")))
+for name in d.get("retired_seen", []):
+    lines.append("  ↳ 【%s】這個欄位已經收回了" % name)
+print("\n".join(lines))
+' 2>/dev/null)"
+
+  DFG_MSG="$MSG" DFG_VIOL="$VIOL_TEXT" DFG_SESSION="$SESSION" python3 -c '
+import os, sys
+sys.stderr.write(
+    os.environ["DFG_MSG"]
+      .replace("__VIOLATIONS__", os.environ.get("DFG_VIOL", ""))
+      .replace("__SESSION__", os.environ.get("DFG_SESSION", "") or "<session_id>")
+    + "\n"
+)
+'
+  exit 2
+fi
+
+# ── 合規 → 注入共通規定 ──────────────────────────────────────────────
+#   這是「派工單只剩票號」的另一半：那些每次都一樣的規定不必有人記得寫，機器每次都補。
+#   來源是 docs/governance/dispatch-and-reply-format.md 的 INJECT 區段——
+#   **只有一份**，改那裡等於改所有派工（不會有第二份漂走的副本）。
+DOC="${CLAUDE_PLUGIN_ROOT:-$(cd "$HERE/.." && pwd)}/docs/governance/dispatch-and-reply-format.md"
+[ -f "$DOC" ] || exit 0
+
+DFG_DOC="$DOC" python3 -c '
+import json, os, re, sys
+try:
+    text = open(os.environ["DFG_DOC"], encoding="utf-8", errors="ignore").read()
+except Exception:
+    sys.exit(0)
+m = re.search(r"<!-- INJECT:BEGIN.*?-->\n(.*?)<!-- INJECT:END -->", text, re.S)
+if not m:
+    sys.exit(0)
+body = m.group(1).strip()
+print(json.dumps({
+    "hookSpecificOutput": {
+        "hookEventName": "PreToolUse",
+        "additionalContext":
+            "【自動注入：派工共通規定】\n"
+            "（來源 docs/governance/dispatch-and-reply-format.md §2——"
+            "派工單只給票號是刻意的，這些每次都一樣的東西由機器補，不靠人記得寫）\n\n"
+            + body,
+    }
+}, ensure_ascii=False))
+' 2>/dev/null
+
+exit 0

hooks/hooks.json

@@ -48,6 +48,14 @@
           {
             "type": "command",
             "command": "${CLAUDE_PLUGIN_ROOT}/hooks/milestone-due-guard.sh"
+          },
+          {
+            "type": "command",
+            "command": "${CLAUDE_PLUGIN_ROOT}/hooks/reply-identity-guard.sh"
+          },
+          {
+            "type": "command",
+            "command": "${CLAUDE_PLUGIN_ROOT}/hooks/search-is-not-proof-guard.sh"
           }
         ]
       },
@@ -136,6 +144,14 @@
           {
             "type": "command",
             "command": "${CLAUDE_PLUGIN_ROOT}/hooks/no-ticket-no-dispatch.sh"
+          },
+          {
+            "type": "command",
+            "command": "${CLAUDE_PLUGIN_ROOT}/hooks/dispatch-format-guard.sh"
+          },
+          {
+            "type": "command",
+            "command": "${CLAUDE_PLUGIN_ROOT}/hooks/search-is-not-proof-guard.sh"
           }
         ]
       },
@@ -171,6 +187,14 @@
           {
             "type": "command",
             "command": "${CLAUDE_PLUGIN_ROOT}/hooks/no-ticket-no-dispatch.sh"
+          },
+          {
+            "type": "command",
+            "command": "${CLAUDE_PLUGIN_ROOT}/hooks/dispatch-format-guard.sh"
+          },
+          {
+            "type": "command",
+            "command": "${CLAUDE_PLUGIN_ROOT}/hooks/search-is-not-proof-guard.sh"
           }
         ]
       },
@@ -199,6 +223,10 @@
           {
             "type": "command",
             "command": "${CLAUDE_PLUGIN_ROOT}/hooks/isep-presence-beacon.sh"
+          },
+          {
+            "type": "command",
+            "command": "${CLAUDE_PLUGIN_ROOT}/scripts/countdown-milestone-refresh.sh"
           }
         ]
       }
@@ -221,6 +249,10 @@
           {
             "type": "command",
             "command": "${CLAUDE_PLUGIN_ROOT}/hooks/factory-idle-guard.sh"
+          },
+          {
+            "type": "command",
+            "command": "${CLAUDE_PLUGIN_ROOT}/hooks/mainline-idle-guard.sh"
           }
         ]
       },
@@ -264,20 +296,12 @@
         "hooks": [
           {
             "type": "command",
-            "command": "${CLAUDE_PLUGIN_ROOT}/hooks/claim-verify-police.sh"
+            "command": "${CLAUDE_PLUGIN_ROOT}/hooks/countdown-guard.sh"
           }
         ]
       }
     ],
     "SubagentStop": [
-      {
-        "hooks": [
-          {
-            "type": "command",
-            "command": "${CLAUDE_PLUGIN_ROOT}/hooks/subagent-claim-worksheet.sh"
-          }
-        ]
-      },
       {
         "hooks": [
           {
@@ -325,6 +349,15 @@
           }
         ]
       },
+      {
+        "matcher": ".*kbdb_(search|get_record|query|graph_neighbors|get_map).*",
+        "hooks": [
+          {
+            "type": "command",
+            "command": "${CLAUDE_PLUGIN_ROOT}/hooks/kbdb-evidence-stamp.sh"
+          }
+        ]
+      },
       {
         "matcher": "Agent|Task",
         "hooks": [
@@ -342,6 +375,16 @@
           }
         ]
       }
+    ],
+    "UserPromptSubmit": [
+      {
+        "hooks": [
+          {
+            "type": "command",
+            "command": "${CLAUDE_PLUGIN_ROOT}/hooks/countdown-guard.sh"
+          }
+        ]
+      }
     ]
   }
 }

hooks/kbdb-evidence-stamp.sh

@@ -0,0 +1,143 @@
+#!/usr/bin/env bash
+# 管什麼: 記下「這個 session 看到的每一筆 KBDB 資料，是從哪一條路拿到的」——搜尋出來的，還是走產品檢索路徑拿到的。
+# 為什麼: 2026-08-27 inkstone/Arcrun#167 comment 4865，總管把 kbdb_search 的輸出當成「產品檢索壞了」的證據，退回一張已經做完的票、重派一條線。錯的不是那句話，是那條路。
+# 誤觸時怎麼關: 這支不擋任何東西，只留檔。要停用就從 hooks.json 拿掉它（配套的 search-is-not-proof-guard 會跟著失效，見該檔）。
+#
+# kbdb-evidence-stamp.sh — 證據的出處登記處（PostToolUse: 各 kbdb_* 工具）
+#
+# ── 為什麼是「出處」而不是「措辭」───────────────────────────────────
+#   leo 2026-08-17 證偽過文字層：那天在文字層封路的閘 **8 次誤攔、0 次正確攔截**，
+#   且方向穩定——紅線寫得越細，命中關鍵字的機率越高 ⇒ **那些閘在懲罰謹慎**。
+#   leo 原話：「自然語言的變體是無限的，blacklist 永遠追不完。
+#             封路哲學之所以有效，是因為它封的是**動作**——動作有限且可枚舉。」
+#
+#   ⇒ 所以本閘不看你怎麼說，看你**引用的那筆資料是從哪支工具掉出來的**。
+#     資料值跟動作一樣是有限且可枚舉的：一個 entry id、一個 `kb://` 來源位址，
+#     它要嘛出現在 kbdb_search 的回應裡，要嘛沒有。**這是事實，不是判讀。**
+#
+# ── 兩條路的分別（D81，leo 2026-08-13 親自裁定）────────────────────
+#   `system-dev/docs/2-architecture/decisions/D81-vector-only-for-entity-normalize.md`
+#     Graph（三元組／entities）  → **找到該找的東西**   ← 產品檢索路徑
+#     LLM Wiki（卡片文本）        → **拉到對的內容**     ← 產品檢索路徑
+#     向量／關鍵字搜尋            → **協助 entities normalize**，**輔助，不是檢索主路徑**
+#
+#   🔴 **`kbdb_search` 本身完全合法**，這支不會讓它變難用——
+#     subagent-wiki-guard.sh 還明文要求「查任何東西之前先用它查 wiki」。
+#     leo 的話是「不能拿它當**產品檢索路徑**」，不是「不准呼叫」。
+#     ⇒ 本檔只登記出處，判斷留給 search-is-not-proof-guard.sh，而那支的觸發條件
+#       窄到「你把搜尋結果的原始值貼進票或派工單裡當證據」才會響。
+#
+# ── 平台依據（查證過，不是推測）─────────────────────────────────────
+#   PostToolUse 的 stdin payload 帶得到工具的**輸出**：
+#     `@anthropic-ai/claude-code/sdk.d.ts:54-59`
+#       export type PostToolUseHookInput = BaseHookInput & {
+#           hook_event_name: 'PostToolUse'; tool_name: string;
+#           tool_input: unknown; tool_response: unknown; };
+#   實跑的那顆（Caskroom 2.1.220）內建說明同樣寫著
+#     `"tool_response": { "success": true }  // PostToolUse only`。
+#
+# ── fail-closed：這支失效的時候要出聲，不准靜默 ──────────────────────
+#   `kbdb-asked-stamp.sh` 檔頭記著 leo 2026-08-08 的原話：
+#     「你自己寫了 hook，結果**一次次改都沒產生用途**，問題太大」。
+#   ⇒ 所以 payload 裡**根本沒有 `tool_response` 這個欄位**時（＝平台換了介面），
+#     本檔走 exit 2 把話講到 stderr 上（PostToolUse 的 exit 2 不會擋工具，
+#     只會把訊息交給 Claude 看）。**寧可吵一次，也不要變成一支活著卻沒作用的閘。**
+#     「回應讀得到但裡面沒有指紋」是正常情況（搜尋 0 筆），不出聲。
+set -uo pipefail
+
+INPUT=$(cat)
+
+OUT=$(printf '%s' "$INPUT" | python3 -c '
+import json, os, re, sys
+
+try:
+    d = json.load(sys.stdin)
+except Exception:
+    print("SKIP"); raise SystemExit
+
+tool = d.get("tool_name") or ""
+sid  = d.get("session_id") or "nosid"
+
+# 這一族才登記；別的工具直接走人
+if "kbdb_" not in tool:
+    print("SKIP"); raise SystemExit
+
+# 🔴 D81 的兩條產品檢索路徑 vs 輔助工具。判斷只看工具名，不看內容。
+WALKED = ("kbdb_get_record", "kbdb_graph_neighbors", "kbdb_query", "kbdb_get_map")
+if any(w in tool for w in WALKED):
+    kind = "walked"
+elif "kbdb_search" in tool:
+    kind = "search"
+else:
+    print("SKIP"); raise SystemExit          # 寫入類工具（create_*）不是證據來源
+
+if "tool_response" not in d:                 # ← 平台換介面了，本閘等於死了
+    print("NOFIELD"); raise SystemExit
+
+# 回應可能是 dict、list、字串、或 MCP 的 content blocks——一律壓成字串再找指紋。
+# 這樣就不必猜它今天是哪一種包裝。
+def flatten(x, acc):
+    if isinstance(x, str):
+        acc.append(x)
+    elif isinstance(x, dict):
+        for v in x.values(): flatten(v, acc)
+    elif isinstance(x, (list, tuple)):
+        for v in x: flatten(v, acc)
+    elif x is not None:
+        acc.append(str(x))
+
+parts = []
+flatten(d.get("tool_response"), parts)
+try:
+    parts.append(json.dumps(d.get("tool_response"), ensure_ascii=False))
+except Exception:
+    pass
+blob = "\n".join(parts)
+
+# ── 指紋只取兩類，兩類都是「值」不是「措辭」───────────────────────
+#   ① entry id：`e_<uuid>`。36 字元的 UUID，實質上不會誤撞。
+#   ② 來源位址：`kb://…`。它在 metadata_json 那串裡，而**跳脫前後長得一樣**
+#      （貼進 markdown 會變成 \"…\"，但 kb:// 那段本身不變）⇒ 貼過去也認得出來。
+#   兩類都是可枚舉的資料值，正好對上 leo 8-17「動作有限且可枚舉，文字不是」。
+ids  = set(re.findall(r"\be_[0-9a-f]{8}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{12}\b", blob))
+srcs = set(re.findall(r"kb://[^\"\\\s,}\]]{6,}", blob))
+fps  = sorted(ids | srcs)
+
+path = "/tmp/.kbdb-evidence-%s-%s" % (kind, sid)
+if fps:
+    try:
+        with open(path, "a", encoding="utf-8") as f:
+            for x in fps:
+                f.write(x + "\n")
+        os.chmod(path, 0o600)
+    except Exception:
+        print("WRITEFAIL"); raise SystemExit
+print("OK %s %d" % (kind, len(fps)))
+' 2>/dev/null) || OUT="PYFAIL"
+
+case "${OUT:-}" in
+  NOFIELD)
+    cat >&2 <<'EOF'
+⚠️ kbdb-evidence-stamp 失效了：這次的 PostToolUse payload **沒有 `tool_response` 欄位**。
+
+它靠這個欄位登記「這筆資料是從哪條路拿到的」，欄位不見 ＝
+`search-is-not-proof-guard.sh` 從現在起**永遠不會響**（而且不會有人發現）。
+
+依據（本閘寫的時候查證過）：
+  @anthropic-ai/claude-code/sdk.d.ts:54-59  PostToolUseHookInput 帶 `tool_response`
+
+⇒ 平台介面變了。開一張票去修這兩支，不要當作沒看到——
+   一支活著卻沒作用的閘，比沒有閘更糟：它會讓人以為這一格有人守。
+EOF
+    exit 2 ;;
+  PYFAIL|WRITEFAIL)
+    cat >&2 <<'EOF'
+⚠️ kbdb-evidence-stamp 這次沒登記成功（python3 或 /tmp 寫入失敗）。
+
+後果：這一次的 kbdb 呼叫不會被 `search-is-not-proof-guard.sh` 看見。
+不影響你手上的工作，但**這一格暫時沒人守**——請自己確認一次
+「我等一下要下的結論，走的是不是我實際查過的那條路」。
+EOF
+    exit 2 ;;
+esac
+exit 0

hooks/lib/countdown.py

@@ -0,0 +1,201 @@
+#!/usr/bin/env python3
+"""hooks/lib/countdown.py —— 算「這件事已經花了多久／還剩多久」的那一行。
+
+這是 helper，不是閘（inkstone/ISEP#40 S7：lib/ 底下的東西不算一支手寫的閘）。
+兩個呼叫者共用它，所以時間的算法只有一份：
+  · UserPromptSubmit（`countdown-guard.sh` 注入模式）—— 把這一行送到模型眼前
+  · Stop（同一支的查核模式）—— 擋下來時要把同一行原樣印出來給它抄
+
+── 基準從哪一刻算起（inkstone/ISEP#63 要我自己判斷並說明理由）──────────
+leo 的原話是「**隨時看自己拖了多久**」。「拖」指向的是**任務**，不是 session，
+但「任務」在機器上沒有起點——沒有任何欄位記著「我什麼時候接手這條線」。
+可機械取得、又真的對應到一個交付的起點，只有一個：**這段對話的第一則訊息**。
+
+而那正好就是總管的交貨單位：CLAUDE.md 規則三點七「**一段對話 ＝ 一個 release**」。
+⇒ 已過時間 ＝ 這個 release 已經燒掉多久。**這個數字不需要任何人維護，也不會說謊。**
+
+resume 的 session 取「transcript 第一列的時間」而不是「hook 第一次被叫到的時間」：
+接關不是重新開始，昨天燒掉的兩小時仍然算在這個交付上。兩者都拿得到時取較早的。
+
+── 第二個數字：今天的收工線 ──────────────────────────────────────────
+leo 2026-08-28 07:40：「今天我整天上課……**下午四點左右**希望已經都完成了」。
+⇒ 台北 16:00。過了 16:00 之後**不立刻換算到明天**——那會讓超時消失，
+   而超時正是他要看的東西。過線後四小時內顯示「已超過 X」，
+   台北 20:00 之後才滾到隔天（那時已經是下一個工作日的倒數了）。
+
+── 第三個數字：主線 milestone 的期限（可選）────────────────────────────
+從快取檔讀，**這支從不打網路**：UserPromptSubmit 走在每一則訊息的關鍵路徑上，
+在那裡打網路 ＝ 每一句話都先等一次 HTTP。快取由 SessionStart 那支負責更新
+（`scripts/countdown-milestone-refresh.sh`），拿不到就整段不顯示，不編數字。
+"""
+import json
+import os
+import sys
+from datetime import datetime, timedelta, timezone
+
+TAIPEI = timezone(timedelta(hours=8))
+MARKER = "⏱"
+
+
+def _now() -> datetime:
+    """現在。測試用 ISEP_COUNTDOWN_NOW（epoch 秒）把時鐘定住。"""
+    override = os.environ.get("ISEP_COUNTDOWN_NOW", "").strip()
+    if override:
+        try:
+            return datetime.fromtimestamp(float(override), tz=timezone.utc)
+        except Exception:
+            pass
+    return datetime.now(timezone.utc)
+
+
+def _parse_ts(raw) -> "datetime | None":
+    if not isinstance(raw, str) or not raw.strip():
+        return None
+    s = raw.strip().replace("Z", "+00:00")
+    try:
+        dt = datetime.fromisoformat(s)
+    except Exception:
+        return None
+    return dt if dt.tzinfo else dt.replace(tzinfo=timezone.utc)
+
+
+def transcript_start(path: str) -> "datetime | None":
+    """transcript 第一列帶時間戳的那一列 ＝ 這段對話真正的起點。"""
+    if not path or not os.path.exists(path):
+        return None
+    try:
+        with open(path) as f:
+            for line in f:
+                line = line.strip()
+                if not line:
+                    continue
+                try:
+                    row = json.loads(line)
+                except Exception:
+                    continue
+                dt = _parse_ts(row.get("timestamp"))
+                if dt:
+                    return dt
+    except Exception:
+        return None
+    return None
+
+
+def state_dir() -> str:
+    d = os.environ.get("ISEP_COUNTDOWN_STATE_DIR", "").strip()
+    if not d:
+        d = os.path.join(os.path.expanduser("~"), ".claude", "isep-countdown")
+    try:
+        os.makedirs(d, exist_ok=True)
+    except Exception:
+        pass
+    return d
+
+
+def session_start(session_id: str, transcript_path: str, now: datetime) -> datetime:
+    """起點 ＝ transcript 第一列與「第一次看到這個 session」兩者取較早。
+
+    第一次看到就落一個檔；transcript 沒有時間戳（或讀不到）時它就是唯一的憑據。
+    """
+    cands = []
+    ts = transcript_start(transcript_path)
+    if ts:
+        cands.append(ts)
+
+    sid = "".join(c for c in (session_id or "") if c.isalnum() or c in "-_")[:80]
+    if sid:
+        p = os.path.join(state_dir(), sid + ".start")
+        seen = None
+        try:
+            with open(p) as f:
+                seen = datetime.fromtimestamp(float(f.read().strip()), tz=timezone.utc)
+        except Exception:
+            seen = None
+        if seen is None:
+            seen = min(cands) if cands else now
+            try:
+                with open(p, "w") as f:
+                    f.write("%d" % seen.timestamp())
+            except Exception:
+                pass
+        cands.append(seen)
+
+    return min(cands) if cands else now
+
+
+def deadline(now: datetime) -> datetime:
+    """今天的收工線（台北 HH:MM）。過線後四小時內不滾，讓超時看得見。"""
+    hhmm = os.environ.get("ISEP_COUNTDOWN_DEADLINE", "16:00").strip() or "16:00"
+    try:
+        hh, mm = (int(x) for x in hhmm.split(":", 1))
+    except Exception:
+        hh, mm = 16, 0
+    local = now.astimezone(TAIPEI)
+    d = local.replace(hour=hh, minute=mm, second=0, microsecond=0)
+    if local >= d + timedelta(hours=4):
+        d += timedelta(days=1)
+    return d
+
+
+def milestone() -> "tuple[str, datetime] | None":
+    """主線 milestone 的期限。快取檔一行：`YYYY-MM-DD|<名稱>`。沒有就沒有。"""
+    raw = os.environ.get("ISEP_MILESTONE_DUE", "").strip()
+    name = os.environ.get("ISEP_MILESTONE_NAME", "").strip()
+    if not raw:
+        p = os.path.join(state_dir(), "milestone-due")
+        try:
+            with open(p) as f:
+                raw = f.read().strip()
+        except Exception:
+            return None
+        if "|" in raw:
+            raw, name = raw.split("|", 1)
+            raw, name = raw.strip(), name.strip()
+    if not raw:
+        return None
+    dt = _parse_ts(raw) or _parse_ts(raw + "T23:59:59+08:00")
+    if not dt:
+        return None
+    return (name or "主線", dt)
+
+
+def human(delta: timedelta) -> str:
+    mins = int(abs(delta).total_seconds()) // 60
+    h, m = divmod(mins, 60)
+    if h and m:
+        return "%d 小時 %d 分" % (h, m)
+    if h:
+        return "%d 小時" % h
+    return "%d 分" % m
+
+
+def line(session_id: str, transcript_path: str) -> str:
+    now = _now()
+    start = session_start(session_id, transcript_path, now)
+    dl = deadline(now)
+
+    parts = ["%s 已過 %s" % (MARKER, human(now - start))]
+    left = dl - now
+    if left.total_seconds() >= 0:
+        parts.append("距收工線（台北 %s）剩 %s" % (dl.strftime("%H:%M"), human(left)))
+    else:
+        parts.append("🔴 已超過收工線（台北 %s）%s" % (dl.strftime("%H:%M"), human(left)))
+
+    ms = milestone()
+    if ms:
+        name, due = ms
+        gap = due - now
+        if gap.total_seconds() >= 0:
+            parts.append("主線 %s 剩 %s" % (name, human(gap)))
+        else:
+            parts.append("🔴 主線 %s 已逾期 %s" % (name, human(gap)))
+
+    return "｜".join(parts)
+
+
+if __name__ == "__main__":
+    try:
+        payload = json.load(sys.stdin)
+    except Exception:
+        payload = {}
+    print(line(payload.get("session_id") or "", payload.get("transcript_path") or ""))

hooks/lib/dispatch_parse.py

@@ -0,0 +1,260 @@
+#!/usr/bin/env python3
+"""hooks/lib/dispatch_parse.py — 派工單與交件回覆的**結構解析器**（不是閘）。
+
+依 inkstone/ISEP#40 S7 的慣例：`lib/` 裡的東西是共用零件，本身不決定 allow/block，
+判決由呼叫它的閘做（`hooks/dispatch-format-guard.sh`、`hooks/reply-identity-guard.sh`、
+`scripts/ticket`）。
+
+━━ 規則本身（leo 2026-08-27，inkstone/ISEP#30 comment 4322 / 4325 / 4327）━━
+
+    派工單 ＝ 【工單】owner/repo#N。就這樣。
+
+  三則合起來是一條規則：
+    4322  任務要在票上，不是在 prompt 裡 —— 而閘只驗了票號這個殼
+    4325  「你用一個 **output parser** 把你給 subagent 的指令規範，分作幾點，
+           每一點規定格式，**照這種散文寫法根本無法迭代**」「**警察也不能抓**」
+    4327  「**交件方式不需要寫，定義在原則裡**⋯⋯每次都一樣提取出來變成共通規定」
+           「（那些 session 事實）**為什麼不寫到票裡？**」
+
+  ⇒ 派工單裡的東西只有兩種，**兩種都不該留在派工單**：
+
+    每次都一樣  交件方式、不要 push main、org 是 inkstone、先讀該 repo 的 CLAUDE.md
+                => 共通規定（由閘自動注入，見 dispatch-format-guard.sh）
+    這次才知道  main 是哪顆 commit、今天撞過什麼、另一條線正在動什麼
+                => **寫進那張票**（「票上還沒有」是「去把它寫上票」的指令，
+                   不是「把它寫進 prompt」的理由）
+
+  判準一句話：**「這句話換一張票還成立嗎？」**
+    還成立 => 共通規定；只有這次成立 => 寫進這張票。兩種都不進派工單。
+
+  為什麼連「這次才知道的事」也不能留在 prompt（4327 實害）：
+  那個 agent 被停掉／換人接手，那段事實就隨 prompt 消失。
+  2026-08-27 總管停掉重派 3 次，前兩次的任務與 session 事實全部蒸發。
+
+━━ 為什麼這支過得了「封動作不封文字」的檢驗（leo 2026-08-17）━━━━━━━━
+  「你在**文字層**封路⋯⋯**自然語言的變體是無限的，blacklist 永遠追不完。**
+    封路哲學之所以有效，是因為它封的是**動作**——動作有限且可枚舉，文字不是。」
+  當日實證：文字層的閘 8 次誤攔、0 次正確攔截，**紅線寫得越細，命中關鍵字的機率越高
+  ⇒ 那些閘在懲罰謹慎**。
+
+  本檔**沒有「命中某個詞就違規」的比對**。判準是「這一行是不是【工單】欄位」——
+  **在不在**，不是**寫什麼**。用到的正則有三種，全部在認形狀：
+    - `【某某】` 欄位標記本身
+    - `owner/repo#N`（可選外掛全形／半形括號的 `→ comment M`）票號形狀
+    - 唯一例外（ISEP#65）：`_COURTESY_CLOSERS` 是一份**白名單**，只用來認出
+      「這一行是不是零資訊的禮貌收尾」，作用方向與黑名單相反——認出的是
+      「不算違規」，不是「算違規」；且要求整行清乾淨標點後完全相等，不是
+      「包含」，所以不會反過來放走任何真正的內容。
+  措辭多謹慎、有沒有提到「紅線」「部署」「main」，本檔一律不看，仍然不會被
+  「寫得越小心越容易被罰」的病拖下水。
+
+━━ 派工單格式 ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+    【工單】inkstone/ISEP#30 → comment 4322
+
+  就這一行。要帶兩張票就兩行【工單】。**沒有第二個欄位。**
+
+━━ 交件回覆格式（任何人 → 票）━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+    【身份】subagent／inkstone/ISEP／feat/ticket-carries-the-task
+
+  第一行就要認得出是誰寫的。角色是三選一的允許清單：`總管`／`subagent`／`leo`。
+  2026-08-27 實害：總管寫的診斷被當成 subagent 的結論，而其中一則是錯的。
+
+用法：
+    import dispatch_parse
+    r = dispatch_parse.parse_dispatch(prompt_text)
+    ok, detail = dispatch_parse.parse_identity(comment_body)
+
+  CLI：吃 hook 的 JSON，吐一份事實 JSON
+    printf '%s' "$INPUT" | python3 hooks/lib/dispatch_parse.py dispatch
+"""
+import json
+import re
+import sys
+
+# ── 派工單的字彙表：**只有一個欄位**。這是允許清單，不是黑名單 ──────────────
+DISPATCH_ALLOWED = ("工單",)
+
+# 曾經合法、現已收回的欄位。**不參與判決**（判決是「不是【工單】就是多的」），
+# 只用來讓訊息講得出「你這一欄的內容該搬去哪」。
+RETIRED_FIELDS = {
+    "人格": "共通規定（收工方從票的 repo 就知道自己戴誰的人格）",
+    "交件": "共通規定（每張票都一樣：貼回原票）",
+    "就地": "**寫進那張票**（這正是「票上還沒有」的解法）",
+    "身份": "那是**交件回覆**的欄位，不是派工單的",
+}
+
+IDENTITY_ROLES = ("總管", "subagent", "leo")
+
+_MARKER_RE = re.compile(r"^【([^】]{1,12})】\s*(.*)$")
+_REF_RE = re.compile(r"^([A-Za-z0-9_.-]+)/([A-Za-z0-9_.-]+)#(\d+)\s*$")
+# 🔴 inkstone/ISEP#65：頂層 CLAUDE.md 規定的合格格式帶著全形括號——
+#   「【工單】owner/repo#N（→ comment M）」。舊版正則只吃「→ comment M」本體，
+#   兩側的括號（全形／半形都要吃）沒被算進去，殘留的括號讓 _REF_RE 比不過，
+#   於是**規則自己定義的合格範例會被自己的閘擋下**。這裡把左右括號都收進來，
+#   兩種都設成可選（沒有括號的舊寫法、純 #issuecomment- 連結都還要能過）。
+_COMMENT_RE = re.compile(r"[（(]?\s*(?:#issuecomment-|→\s*comment\s*)(\d+)\s*[）)]?")
+_FENCE_RE = re.compile(r"^\s*(```|~~~)")
+
+# 🔴 inkstone/ISEP#65：票號後面只掛一句純禮貌收尾（例：「謝謝」），不該被當成
+#   「派工單不只有票號」的違規——它不含任何要搬去票上或共通規定的實質內容。
+#   這是**白名單，不是黑名單**：判準仍是結構（整行清乾淨標點後「等於」清單裡的
+#   固定字串，不是「包含」），漏收某個禮貌講法頂多誤鎖一次（代價小，見 ISEP#65
+#   的「優先做成低誤鎖」），但不會反過來放走任何真正的內容——真內容不會剛好
+#   打出一個字不差的空話。全檔仍然沒有「命中某個詞就違規」的比對，這裡是唯一
+#   一處字面比對，且作用方向相反：認出「不是內容」，不是認出「是違規」。
+_COURTESY_CLOSERS = frozenset({
+    "謝謝", "謝謝你", "謝謝您", "謝謝囉", "多謝", "感謝", "感恩", "辛苦了", "收到",
+    "thanks", "thank you", "thx",
+})
+_COURTESY_STRIP_RE = re.compile(r"[\s。！!.,～~，、]+$")
+
+
+def _is_courtesy_closer(line):
+    s = _COURTESY_STRIP_RE.sub("", line.strip())
+    return s.lower() in _COURTESY_CLOSERS
+
+
+def _split_lines(text):
+    """切成 (是否在圍欄內, 原始行)。
+
+    圍欄（``` / ~~~）裡的東西是**資料**不是欄位標記。同一個道理已經在
+    hooks/lib/strip_heredoc.py 落地過（heredoc body 是資料不是指令，
+    inkstone/InkStoneCo#23、#56 的根因就是把資料當指令掃）。
+    這裡的效果是：貼一段指令進派工單，裡面的【】不會被誤認成欄位——
+    但整段圍欄本身仍然算「多出來的內容」，照樣會被擋。
+    """
+    out, in_fence = [], False
+    for line in text.split("\n"):
+        if _FENCE_RE.match(line):
+            out.append((in_fence, line))   # 圍欄那一行歸屬於「切換前」的狀態
+            in_fence = not in_fence
+            continue
+        out.append((in_fence, line))
+    return out
+
+
+def parse_dispatch(prompt):
+    """把派工單拆成「【工單】欄位」與「其餘一切」。**只回事實，不下判決**。
+
+    回傳 dict：
+      has_ticket_marker  有沒有出現過【工單】——沒有就不是本格式的東西
+      refs               解析成功的票號清單 [{'owner','repo','num','comment'}]
+      bad_ticket_lines   有【工單】標記但形狀不對的那幾行
+      extra              多出來的實質內容 [(來源欄位或 None, 原始行)]
+      retired_seen       出現過的、已收回的欄位名（給訊息用）
+    """
+    fields_seen, refs, bad_ticket_lines = [], [], []
+    extra, retired_seen = [], []
+    cur = None
+
+    for in_fence, raw in _split_lines(prompt or ""):
+        if not in_fence:
+            m = _MARKER_RE.match(raw)
+            if m:
+                name, rest = m.group(1), m.group(2)
+                cur = name
+                fields_seen.append(name)
+                if name in RETIRED_FIELDS and name not in retired_seen:
+                    retired_seen.append(name)
+                if name in DISPATCH_ALLOWED:
+                    text = rest.strip()
+                    head = _COMMENT_RE.sub("", text).strip()
+                    rm = _REF_RE.match(head)
+                    if rm:
+                        cm = _COMMENT_RE.search(text)
+                        refs.append({"owner": rm.group(1), "repo": rm.group(2),
+                                     "num": int(rm.group(3)),
+                                     "comment": int(cm.group(1)) if cm else None})
+                    else:
+                        bad_ticket_lines.append(raw.strip())
+                else:
+                    if rest.strip():
+                        extra.append((name, raw))
+                continue
+        if raw.strip():
+            # 【工單】欄位本身只准佔它自己那一行；它下面的續行也是多的。
+            # 白名單豁免只在圍欄外生效——圍欄裡的東西本來就該一律算數（test ⑮），
+            # 這裡不額外放寬，避免有人把真內容包在圍欄裡再貼一句「謝謝」蒙混。
+            if not in_fence and _is_courtesy_closer(raw):
+                continue
+            extra.append((cur, raw))
+
+    return {
+        "has_ticket_marker": "工單" in fields_seen,
+        "refs": refs,
+        "bad_ticket_lines": bad_ticket_lines,
+        "extra": extra,
+        "extra_lines": len(extra),
+        "extra_chars": sum(len(r.strip()) for _, r in extra),
+        "retired_seen": retired_seen,
+        "fields_seen": fields_seen,
+    }
+
+
+def dispatch_violations(parsed):
+    """換算成違規清單。每一條都是**結構**事實，可以單獨迭代。"""
+    v = []
+    for line in parsed["bad_ticket_lines"]:
+        v.append(("票號形狀不對",
+                  "「%s」不是 owner/repo#N（可加 → comment M）；org 是 inkstone 不是 Leo"
+                  % line[:60]))
+    if parsed["extra"]:
+        first = parsed["extra"][0][1].strip()
+        v.append(("派工單不只有票號",
+                  "【工單】以外還有 %d 行／%d 字，第一行是：%s"
+                  % (parsed["extra_lines"], parsed["extra_chars"], first[:50])))
+    return v
+
+
+def parse_identity(body):
+    """交件回覆的【身份】欄。回 (ok, detail)。"""
+    for raw in (body or "").split("\n"):
+        if not raw.strip():
+            continue
+        m = _MARKER_RE.match(raw)
+        if not m or m.group(1) != "身份":
+            return False, "第一行不是【身份】"
+        val = m.group(2).strip()
+        if not val:
+            return False, "【身份】後面是空的"
+        role = re.split(r"[／/]", val)[0].strip()
+        if role not in IDENTITY_ROLES:
+            return False, "角色「%s」不在 %s 之內" % (role or "（空）", "／".join(IDENTITY_ROLES))
+        return True, val
+    return False, "內文是空的"
+
+
+# ── CLI ──────────────────────────────────────────────────────────────────
+def _main():
+    mode = sys.argv[1] if len(sys.argv) > 1 else "dispatch"
+    try:
+        payload = json.load(sys.stdin)
+    except Exception:
+        print(json.dumps({"status": "skip", "why": "payload 不是 JSON"}))
+        return
+
+    if mode != "dispatch":
+        print(json.dumps({"status": "skip", "why": "未知模式 %s" % mode}))
+        return
+
+    prompt = (payload.get("tool_input") or {}).get("prompt") or ""
+    parsed = parse_dispatch(prompt)
+
+    # 連【工單】都沒有 => 那是 no-ticket-no-dispatch.sh 的地盤，本閘閉嘴。
+    # 兩支閘同時對同一件事開口，收工方會拿到兩份互相打架的教學。
+    if not parsed["has_ticket_marker"]:
+        print(json.dumps({"status": "skip", "why": "沒有【工單】，交給 no-ticket-no-dispatch"}))
+        return
+
+    print(json.dumps({
+        "status": "ok",
+        "violations": [{"code": c, "detail": d} for c, d in dispatch_violations(parsed)],
+        "refs": parsed["refs"],
+        "retired_seen": parsed["retired_seen"],
+        "extra_lines": parsed["extra_lines"],
+        "session_id": payload.get("session_id") or "",
+    }, ensure_ascii=False))
+
+
+if __name__ == "__main__":
+    _main()

hooks/lib/path-resolve.sh

@@ -16,8 +16,10 @@
 # history-first-guard.sh、main-and-prod-push-guard.sh、no-ticket-no-dispatch.sh、
 # not-my-branch-guard.sh、release-tag-guard.sh、skill-deploy-drift-guard.sh、
 # stage-before-prod-guard.sh、unpushed-police.sh、wiki-first-police.sh。
-# 另有 claim-verify-police.sh、subagent-claim-worksheet.sh、empty-handed-stop-guard.sh、
+# 另有 empty-handed-stop-guard.sh、issue-status-autoflip.sh 直接寫 `$CLAUDE_PROJECT_DIR`
-# issue-status-autoflip.sh 直接寫 `$CLAUDE_PROJECT_DIR`（無 `:-` fallback）——
+# （無 `:-` fallback）——
+# （claim-verify-police.sh／subagent-claim-worksheet.sh 已於 ISEP#60 整組移除，
+#  它們守的東西改由 Gitea 原生三格承接，見 ISEP#59／PR #58）
 # 這批在該變數未設時行為又不一樣，同一個病的另一種長相。
 # 這些全部沒有本檔「先確認到底在不在 repo 裡」的判斷；本檔先在 sdd-guard.sh 落地，
 # 其餘要不要跟進、要不要改用這支共用函式，另案處理，不在本票（#22）範圍內一次改完。

hooks/mainline-idle-guard.sh

@@ -0,0 +1,291 @@
+#!/usr/bin/env bash
+# mainline-idle-guard.sh — 主線閒置警察（inkstone/ISEP#30 → comment 4851）
+#
+# ── 補的是哪一格 ────────────────────────────────────────────────
+# leo 2026-08-27：「**你為什麼會停工什麼都沒派？不是停下來會有 hook 嗎？**」
+#
+#   總管的行為              空手警察          稼動率警察
+#   ─────────────────────────────────────────────────────
+#   沒動作、沒宣告          🛑 擋             —
+#   有動作、有宣告下一步    放行              🛑 擋
+#   **有動作、不宣告**      **放行**          **放行**   ← 這一格
+#
+# 第三列就是當天實際發生的：連續數個回合在查 git、讀票、跑測試、複驗 subagent 的
+# 宣稱——**十幾個 tool call，兩支閘都放行**，而主線一個 subagent 都沒派。
+# **只要不寫「下一步」三個字，兩支閘都抓不到。**
+#
+# ── 為什麼不是再加一組句型 ──────────────────────────────────────
+# 紅線就寫在票上：不准用文字層判準。leo 2026-08-17 已經證偽過那條路
+# （文字層的閘當日 8 次誤攔、0 次正確攔截，而且**紅線寫得越細越容易誤攔**）。
+# 本閘從頭到尾**不讀任何一個字**——它只看「這個回合做了什麼工具呼叫」與
+# 「工作區的狀態有沒有變」。措辭隨它變，這條路物理上不通。
+#
+# ── 判準：偵察 ≠ 產出 ──────────────────────────────────────────
+#   乾回合（dry turn）＝ ① 這回合 ≥3 個 tool call（**有在用力**）
+#                     ＋ ② 沒有任何一種「推進證據」（見下）
+#   連續 4 個乾回合 ⇒ 擋一次。（4 是量出來的，見「門檻怎麼定的」）
+#
+#   🔴 兩個「不算乾回合」的設計，是為了不誤攔：
+#     - **0–2 個 tool call 的回合完全不計數**。回答 leo 一個問題、順手 grep 兩下，
+#       那是對話，不是空轉；而「零動作」已經有空手警察在管。
+#     - **推進證據採極寬認定**（下面任何一種都算）。寧可漏攔，不可誤攔——
+#       永遠在響的警報等於訓練人忽略警報，那比沒有警報更糟。
+#
+#   推進證據（任何一種成立 ⇒ 這回合有推進，計數歸零）：
+#     ① 派工／驅動別人：Agent／Task／SendMessage／spawn_task
+#     ② 產出東西：Write／Edit／MultiEdit／NotebookEdit／Artifact
+#     ③ 寫進外部系統：工具名含 create/push/update/send/reply/publish/deploy/submit…
+#     ④ Bash 白名單：git commit/push/merge/tag、scripts/ticket、wrangler deploy…
+#     ⑤ **工作區狀態變了**：HEAD 動了，或 `git status --porcelain` 的內容變了
+#        ⇒ 這一條是關鍵：用 heredoc／sed／腳本改檔（本環境很常見）不經過 Edit 工具，
+#          光看工具名會漏；看**結果**就不會。
+#
+#   🔴 ③④ 是**只用來放行的白名單**，永遠不用來擋。
+#     白名單漏了一項＝少放行一次（有 ⑤ 兜底），黑名單漏了一項＝誤攔一次。
+#     方向不對稱，所以只准往放行的方向做字面比對。
+#
+# ── 為什麼是「連續」而不是「這一回合」 ──────────────────────────
+# 票上第 3 條驗收：「這回合就是在回答一個不需要派工的問題 ⇒ 放行」。
+# 單一回合沒有推進，本來就可能完全正當（在複驗、在讀票、在回答）。
+# **不正當的是那個狀態持續下去。** 所以量的是連續乾回合數，不是單回合。
+# ⇒ 這同時滿足另一條紅線：不會變成「每回合都必須派工」。
+#
+# ── 門檻怎麼定的：拿真 transcript 量，不是拍腦袋 ────────────────
+# 重放本機 6 份真 transcript（InkStoneCo 專案，**1965 個真實回合**），
+# 逐回合餵給這道閘，數它會響幾次：
+#
+#   起始門檻 3 → 4 次（92a75156 兩次、602ea4a1 一次、9e0144f1 一次）
+#   起始門檻 4 → **1 次**（92a75156 第 311 回合）
+#
+# 門檻 3 多出來的那三次，看下去都落在「leo 正在連問問題、我逐題查證回答」的段落
+# ——那正是票上第 3 條驗收明文保護的情境（**閘不能懲罰誠實回答問題**）。
+# 門檻 4 剩下的那一次，落在連續 10 個回合（308–317）只查不產出的那一段，
+# 那一段本來就同時被 delivery-police 與 wiki-first-police 連續攔了五次。
+# ⇒ **1/1965 ＝ 0.05%**。取 4。
+#
+# ⚠️ 重放時一律把 `stop_hook_active` 當成 false（最壞情況）。真實環境裡那幾個
+#    回合有不少是被別的 Stop 閘擋出來的 ⇒ 實際會響得比這個數字更少。
+#
+# ── 響過就退讓（不當那個永遠在響的警報）────────────────────────
+# 擋一次之後：計數歸零，**門檻加倍**（3 → 6 → 12 → 24…）。
+# 真的在空轉會被早早抓到；真的是一段長時間的正當偵察，警報會自己越來越稀。
+# 另外 `stop_hook_active` 為真（已被別的 Stop 閘擋過）時完全不計數。
+# ⇒ 不可能把人鎖死：擋完就放行，再送一次即可。
+#
+# ── 內部錯誤不准靜默放行 ────────────────────────────────────────
+# Stop 閘 fail-closed 會把 session 鎖死，而誤攔是本 repo 的第一級缺陷
+# ⇒ 內部錯誤走 exit 0，但**留痕**：log 記 ⚠️、stderr 也印一行。
+#   「不准靜默」是靠留痕滿足的，不是靠擋下。
+#
+# 迴歸測試：hooks/tests/mainline-idle-guard.test.sh（含「不該擋」的案例）
+set -u
+
+PROJ="${CLAUDE_PROJECT_DIR:-$(pwd)}"
+PAYLOAD=$(cat 2>/dev/null || echo '{}')
+
+# ⑤ 工作區狀態指紋：HEAD ＋ 未提交變更的內容摘要。
+#    不是 git repo 就給空字串（這層證據不可用，其餘四層照跑）。
+GITSTATE=""
+if git -C "$PROJ" rev-parse --git-dir >/dev/null 2>&1; then
+  GITSTATE="$(git -C "$PROJ" rev-parse HEAD 2>/dev/null || echo '-')|$(
+    git -C "$PROJ" status --porcelain 2>/dev/null | shasum 2>/dev/null | cut -c1-16
+  )"
+fi
+
+VERDICT=$(printf '%s' "$PAYLOAD" | GITSTATE="$GITSTATE" python3 -c '
+import json, os, re, sys
+
+def out(s):
+    print(s); raise SystemExit
+
+try:
+    d = json.load(sys.stdin)
+except Exception:
+    out("SKIP:bad-payload")
+
+# 已被別的 Stop 閘擋過這一輪 ⇒ 不計數、不擋（避免疊擋）
+if d.get("stop_hook_active"):
+    out("SKIP:already-nudged")
+
+tp = d.get("transcript_path") or ""
+if not tp or not os.path.exists(tp):
+    out("SKIP:no-transcript")
+
+sid = d.get("session_id") or "nosid"
+sid = re.sub(r"[^A-Za-z0-9_.-]", "_", sid)[:64]
+state_path = os.path.join(os.environ.get("MAINLINE_IDLE_STATE_DIR", "/tmp"),
+                          ".mainline-idle-%s.json" % sid)
+
+rows = []
+try:
+    with open(tp) as f:
+        for line in f:
+            line = line.strip()
+            if line:
+                try: rows.append(json.loads(line))
+                except Exception: pass
+except Exception:
+    out("SKIP:unreadable")
+
+# 這個回合＝最後一則「真的來自使用者」的訊息之後（工具結果不算）
+start = 0
+for i, r in enumerate(rows):
+    if r.get("type") == "user":
+        c = (r.get("message") or {}).get("content")
+        blocks = c if isinstance(c, list) else [{"type": "text"}]
+        if not any(isinstance(b, dict) and b.get("type") == "tool_result" for b in blocks):
+            start = i
+turn = rows[start:]
+
+names, bash_cmds = [], []
+for r in turn:
+    if r.get("type") != "assistant":
+        continue
+    for b in (r.get("message") or {}).get("content") or []:
+        if isinstance(b, dict) and b.get("type") == "tool_use":
+            n = b.get("name") or ""
+            names.append(n)
+            if n == "Bash":
+                cmd = (b.get("input") or {}).get("command") or ""
+                if isinstance(cmd, str):
+                    bash_cmds.append(cmd)
+
+tools = len(names)
+
+# ── 推進證據（白名單：只用來放行）────────────────────────────
+DISPATCH = {"Agent", "Task", "SendMessage"}
+PRODUCE  = {"Write", "Edit", "MultiEdit", "NotebookEdit", "Artifact"}
+# 寫進外部系統的 MCP／內建工具，用動詞尾綴認（漏了只是少放行一次）
+WRITE_VERB = re.compile(
+    r"(create|push|update|send|reply|post|publish|deploy|submit|spawn_task|"
+    r"write|delete|upload|assign|comment|tag_resource|run_workflow)", re.I)
+BASH_WRITE = re.compile(
+    r"git\s+(commit|push|merge|tag|cherry-pick|revert|am|apply)"
+    r"|scripts/ticket|(^|\s)ticket\s+(say|new|assign|label|close|move)"
+    r"|wrangler\s+(deploy|publish|d1|kv|r2|secret)"
+    r"|gh\s+(issue|pr|release)\s+(create|comment|edit|close)"
+    r"|npm\s+publish|ship\.mjs|github-arm\.sh")
+
+why = ""
+if any(n in DISPATCH for n in names):
+    why = "dispatch"
+elif any(n in PRODUCE for n in names):
+    why = "produce"
+elif any(WRITE_VERB.search(n) for n in names):
+    why = "external-write"
+elif any(BASH_WRITE.search(c) for c in bash_cmds):
+    why = "bash-write"
+
+gitstate = os.environ.get("GITSTATE", "")
+
+# ── 狀態檔 ────────────────────────────────────────────────
+st = {}
+try:
+    with open(state_path) as f:
+        st = json.load(f)
+except Exception:
+    st = {}
+
+# 起始門檻。預設 4 是拿真 transcript 量出來的（見檔頭「門檻怎麼定的」段），
+# 環境變數只是為了讓那個量測可以重跑，不是給人隨手調鬆的旋鈕。
+try:
+    BASE = max(2, int(os.environ.get("MAINLINE_IDLE_THRESHOLD", "4")))
+except Exception:
+    BASE = 4
+
+streak    = int(st.get("streak", 0) or 0)
+threshold = int(st.get("threshold", BASE) or BASE)
+last_rows = int(st.get("rows", -1) or -1)
+last_git  = st.get("git", None)
+
+def save(verdict):
+    try:
+        with open(state_path, "w") as f:
+            json.dump({"streak": streak, "threshold": threshold,
+                       "rows": len(rows), "git": gitstate}, f)
+    except Exception:
+        pass
+    out(verdict)
+
+# 第一次見到這個 session：只立基準，不評分（沒有可比的前一格）
+if last_rows < 0:
+    save("SKIP:baseline")
+
+# 同一個回合被叫第二次（transcript 沒長）⇒ 不重複計數
+if len(rows) <= last_rows:
+    save("SKIP:same-turn")
+
+# ⑤ 工作區狀態變了 ⇒ 有產出（heredoc／sed／腳本改檔都吃得到）
+if not why and gitstate and last_git is not None and gitstate != last_git:
+    why = "worktree-changed"
+
+if why:
+    streak = 0
+    save("OK:%s:%d" % (why, tools))
+
+# 沒有推進證據，但這回合幾乎沒用力（≤2 個動作）⇒ 那是對話，不計數
+if tools < 3:
+    save("OK:light-turn:%d" % tools)
+
+streak += 1
+if streak >= threshold:
+    fired_at = streak
+    fired_threshold = threshold
+    streak = 0
+    threshold = threshold * 2      # 響過就退讓：3 → 6 → 12 → 24…
+    save("IDLE::%d::%d::%d" % (fired_at, fired_threshold, tools))
+
+save("OK:dry-turn:%d/%d" % (streak, threshold))
+' 2>/dev/null) || VERDICT="CRASH"
+[ -n "${VERDICT:-}" ] || VERDICT="CRASH"
+
+STAMP=$(date "+%Y-%m-%d %H:%M:%S" 2>/dev/null || echo "?")
+LOGDIR="$PROJ/.claude/hooks"
+note() {
+  if [ -d "$LOGDIR" ]; then
+    printf '| %s | %s | %s |\n' "$STAMP" "$1" "$2" >> "$LOGDIR/mainline-idle-guard.log" 2>/dev/null || true
+  fi
+}
+
+case "$VERDICT" in
+  IDLE::*)
+    N=$(printf '%s' "$VERDICT" | cut -d: -f3)
+    T=$(printf '%s' "$VERDICT" | cut -d: -f5)
+    C=$(printf '%s' "$VERDICT" | cut -d: -f7)
+    note "⛔ 擋下" "連續 ${N} 個乾回合（門檻 ${T}），本回合 ${C} 個動作、零推進"
+    cat >&2 <<MSG
+🛤️ 主線閒置警察：**連續 ${N} 個回合有動作、沒推進。**（本回合 ${C} 個動作）
+
+這一格是空手警察與稼動率警察中間的漏洞——
+  「沒動作」有人管、「宣告了下一步卻沒派工」有人管，
+  但**一直在查、一直在讀、什麼都沒交出去**，兩支都放行。
+🔴 只要不寫「下一步」三個字，就沒有任何閘抓得到。這支抓的就是它。
+
+本閘**一個字都不讀**。它只認這五種「推進」，任何一種成立就歸零：
+  ① 派工／驅動別人   Agent／Task／SendMessage
+  ② 產出東西         Write／Edit／Artifact
+  ③ 寫進外部系統     建票／留言／推工作流／部署
+  ④ Bash 寫入        git commit／push、scripts/ticket、wrangler deploy
+  ⑤ 工作區變了       HEAD 動了或有新的未提交變更（heredoc／sed 改檔也算）
+
+━━ 現在做一件就好，不必補一段說明 ━━━━━━━━━━━━━━━━━━━━━━
+  • 查到的東西**寫回票**（\`scripts/ticket say <owner/repo#N> -F <檔>\`）
+    ——查證只有落回票上才是資產，留在 transcript 裡下一個 session 就沒了
+  • 該別人做的**現在派出去**（帶【工單】一行票號）
+  • 自己該落地的**現在落地**（改檔／commit）
+
+━━ 如果這幾個回合的偵察本來就是正當的 ━━━━━━━━━━━━━━━━━━
+  直接再送一次即可，本閘已經歸零，而且**門檻已加倍**（下次要 $((T*2)) 個乾回合才會再響）。
+  🔴 不必為了過這道閘去做一件假的動作——**假派工比不派更糟。**
+MSG
+    exit 2 ;;
+  CRASH|SKIP:bad-payload)
+    # fail-closed 的精神在「不准靜默」：Stop 閘擋下內部錯誤會鎖死 session，
+    # 所以放行，但一定留痕（log ＋ stderr），讓「這道閘壞了」查得到。
+    note "⚠️ 內部錯誤" "$VERDICT"
+    printf '⚠️ mainline-idle-guard 內部錯誤（%s）——本回合未評分，已記入 log。\n' "$VERDICT" >&2
+    exit 0 ;;
+  *)
+    note "✅ 放行" "$VERDICT"
+    exit 0 ;;
+esac

hooks/prod-write-guard.sh

@@ -41,6 +41,26 @@ try: print(json.load(sys.stdin).get("tool_input", {}).get("command", "") or "")
 except Exception: print("")
 ' 2>/dev/null || printf '')
 
+# ── 🔴 卡點二（inkstone/ISEP#63 → comment 5106）：「執行它」vs「談論它」，第八次 ──
+#
+#   總管要把「本閘擋住了發通知」這件事**貼到票上**，而那則留言的內文**引用了**
+#   本閘的判準（實例主機名、寫入旗標的字樣）⇒ **一則留言被自己擋下來。**
+#   同款的第八次（`inkstone/InkStoneCo#23` 的標題已經寫著「第七次」）。
+#   ⇒ 本次修這支閘時**又撞了一次**：連「把修法寫進檔案」的那條指令都被擋，
+#     因為它的內文引用了主機名。那就是這一格最好的證據。
+#
+#   leo 2026-08-17 的診斷：文字層的閘那天 **8 次誤攔、0 次正確攔截**，且方向穩定——
+#   **紅線寫得越細，命中關鍵字的機率越高 ⇒ 那些閘在懲罰謹慎。**
+#
+#   那一段內文**是資料，不是指令**。這支 lib（`github-contact-guard`／
+#   `main-and-prod-push-guard`／`stage-before-prod-guard` 三支已經在用）只剝內文、
+#   **保留起始行**——所以真的在部署的寫法（起始行就帶著實例網址與寫入旗標）
+#   仍然整條看得到、照樣擋。
+#
+#   ⚠️ 繞法（把內文先寫成檔案、再用不含關鍵字的指令送出）本來就通，
+#      但那正是 leo 說的「**人就會學會繞過它，那它就等於不存在**」⇒ 要修的是閘。
+CMD=$(printf '%s' "$CMD" | python3 "$(dirname "$0")/lib/strip_""heredoc.py" 2>/dev/null || printf '%s' "$CMD")
+
 # ── 總管戳記：**單次、15 分鐘失效** ────────────────────────────────────
 #
 # 🔴 這一版一開始寫成「15 分鐘內無限次放行」，而同一天 `main-and-prod-push-guard.sh`
@@ -220,6 +240,40 @@ case "$CMD_M" in
   *curl*|*httpie*|*" http "*|*wget*)
     case "$CMD" in
       *workers.dev*|*arcrun.dev*)
+        # 🔴 卡點一（inkstone/ISEP#63 → comment 5106）：發一則通知被當成部署擋下
+        #
+        #   leo 2026-08-28 要的是「每小時一個版本，用 Telegram 通知我」。
+        #   通道是 `notify_leo` 工作流（wiki `agent-memory.md`：一條 curl、不需任何金鑰）。
+        #   而發一則 Telegram **一定是帶 body 的寫入型請求打到那台實例**
+        #   ⇒ 在本閘眼裡它跟「部署一個工作流上線」長得一模一樣。
+        #
+        #   🔴 **這不是誤攔，是解析度不夠**：兩者打的是同一個 named webhook 家族路徑。
+        #      真正的差別在**打的是哪一個 named webhook**——
+        #        `…/webhooks/named/<ns>/notify_leo/trigger`        ＝ 發一則訊息，什麼都沒改
+        #        `…/webhooks/named`（無名字、無 /trigger）          ＝ 部署工作流定義
+        #        `…/webhooks/named/<ns>/ship_refresh_cdn/trigger`  ＝ 真的動線上狀態
+        #
+        #   判準因此看**目標的結構**（路徑形狀＋工作流名字），不是「有沒有寫入旗標」：
+        #     指令裡打到實例的**每一個**網址都是白名單裡的通知型 trigger ⇒ 放行
+        #     只要有一個不是（含部署端點、含別的工作流）⇒ 照擋
+        #   ⚠️ 放行的範圍刻意只有一個名字。**不放行整個 named webhook 家族**——
+        #      那會把部署一起放掉，等於拆了這道閘。
+        NOTIFY_ONLY=$(printf '%s' "$CMD" | python3 -c '
+import re, sys
+cmd = sys.stdin.read()
+ALLOW = {"notify_leo"}          # 通知型：只發訊息，不改線上任何狀態
+urls = re.findall(r"https?://[^\s\"\x27<>]+", cmd)
+inst = [u for u in urls if re.search(r"://[^/]*(workers\.dev|arcrun\.dev)", u)]
+if not inst:
+    raise SystemExit(0)         # 沒有實例網址 ⇒ 這裡不表態，交給下面的寫入語意判斷
+PAT = re.compile(r"https?://[^/]+/webhooks/named/[^/]+/([A-Za-z0-9_-]+)/trigger/?$")
+def notify(u):
+    m = PAT.match(u.rstrip(",;)"))
+    return bool(m) and m.group(1) in ALLOW
+print("notify-only" if all(notify(u) for u in inst) else "")
+' 2>/dev/null || printf '')
+        [ "$NOTIFY_ONLY" = "notify-only" ] && exit 0
+
         # 🔴 2026-08-12 修誤攔：` -d ` 不只是 curl 的 --data，**一堆唯讀工具也用 -d**
         #   （`tr -d`／`cut -d=`／`sort -d`／`date -d`／`xargs -d`／`paste -d`…）。
         #   實撞：總管要「唯讀」驗證一把金鑰能不能開 kbdb 的閘，指令第一行是

hooks/reply-identity-guard.sh

@@ -0,0 +1,73 @@
+#!/bin/bash
+# 管什麼: 直接打 Gitea API 貼留言到票上時，內文第一行沒有【身份】就擋。
+# 為什麼: scripts/ticket 已經在正門擋了，但貼留言還有 API 這條側門——只封一條等於沒封。
+# 誤觸時怎麼關: 內文第一行加【身份】<總管|subagent|leo>／<owner/repo>／<分支>，或在指令裡加 reply-identity-ok 留痕放行。
+#
+# reply-identity-guard.sh — PreToolUse（Bash）：**票上的每一則留言都要認得出是誰寫的**
+#
+# 來由（leo 2026-08-27，inkstone/ISEP#30 comment 4325）：
+#   「**subagent 回覆時要表明身份**」
+#   實害（同日）：多條線並行，票上的留言看不出是誰寫的，
+#   **總管寫的診斷被當成 subagent 的結論，而其中一則是錯的**。
+#
+# 為什麼要有這一支，正門的檢查不夠：
+#   `scripts/ticket say` 已經在貼上去之前擋了。但**貼留言這個動作有兩條路**——
+#   而 `ticket-api-bypass-guard.sh` 是**刻意放行**「對既有票的留言」的（它管的是開新票）。
+#   ⇒ 側門大開。這正是那支閘檔頭自己記過的一課：
+#     「規範有、閘也有，但閘長在『工具』上，而那個動作有兩條路，只封了一條。」
+#
+# 判準是**結構**不是文字（leo 2026-08-17：「封的是動作，不是文字」）：
+#   本閘不看留言寫什麼，只看**那個欄位在不在**。
+#   三個條件都命中才擋：① 打到 /issues/<N>/comments 這條端點 ② 指令裡有 POST
+#   ③ 內文找不到【身份】。純讀取（GET 撈留言）一律放行。
+#
+# 逃生口：指令裡加 `reply-identity-ok`（會留在指令歷史上）。
+#
+# 測試：hooks/tests/reply-identity.test.sh
+set -uo pipefail
+
+INPUT=$(cat)
+CMD=$(printf '%s' "$INPUT" | python3 -c "
+import sys, json
+try: print(json.load(sys.stdin).get('tool_input', {}).get('command', ''))
+except Exception: print('')
+" 2>/dev/null)
+[ -n "$CMD" ] || exit 0
+
+# 逃生口（留痕）
+case "$CMD" in *reply-identity-ok*) exit 0 ;; esac
+# 正門有自己的閘，重複擋只會互相打架
+case "$CMD" in *scripts/ticket*|*"ticket say"*|*"ticket decide"*|*"ticket close"*) exit 0 ;; esac
+
+# ① 打到「某張票的留言」這條端點（帶票號的子路徑，這是本閘唯一管的東西）
+printf '%s' "$CMD" | grep -qE 'issues/[0-9]+/comments' || exit 0
+
+# ② 純讀取一律放行。同 ticket-api-bypass-guard 的理由：只認一個裸字就夠——
+#    ①已經確定這是留言端點，讀取的指令不會出現 POST，而且沒有跳脫的破口。
+printf '%s' "$CMD" | grep -qw 'POST' || exit 0
+
+# ③ 內文有沒有身份欄。只問「在不在」，不問「寫什麼」。
+printf '%s' "$CMD" | grep -q '【身份】' && exit 0
+
+cat >&2 <<'MSG'
+🚫 貼到票上的留言，第一行要表明身份（leo 2026-08-27：「**subagent 回覆時要表明身份**」）
+
+你正在用 Gitea API 直接貼留言，而內文裡找不到【身份】。
+
+第一行照這個寫（角色三選一：總管／subagent／leo）：
+
+    【身份】subagent／inkstone/ISEP／feat/my-branch
+    【身份】總管／inkstone/InkStoneCo／-
+
+**這條管所有人，不是只管 subagent。** 總管寫在票上的東西同樣要標——
+實害（2026-08-27）：多條線並行時票上看不出誰寫的，
+**總管寫的診斷被當成 subagent 的結論，而其中一則是錯的**。
+
+── 走正門比較省事 ─────────────────────────────────────────────
+    scripts/ticket say <owner/repo#N> -F <內文檔>
+  它會回一行「定址」，那串就是下次派工要寫進【工單】的東西。
+
+規約全文：docs/governance/dispatch-and-reply-format.md §3
+真的有例外 → 指令裡加 reply-identity-ok（會留在指令歷史上）。
+MSG
+exit 2

hooks/search-is-not-proof-guard.sh

@@ -0,0 +1,198 @@
+#!/usr/bin/env bash
+# 管什麼: 把 kbdb_search 掉出來的原始值當證據，貼進票或派工單裡，而那筆資料從沒走過產品檢索路徑時，擋一次。
+# 為什麼: 2026-08-27 inkstone/Arcrun#167 comment 4865——總管用 kbdb_search 的輸出判定「兩個缺陷都還在」，退回一張已經做完、有測試、東西在 main 的票，還重派一條線。半小時後自己更正（comment 4877）：那條路本來就不會有那個欄位。
+# 誤觸時怎麼關: 指令或派工單裡加 `search-is-evidence: <一句理由>` 重送（留痕）；同一 session 只擋一次。
+#
+# search-is-not-proof-guard.sh — 你判斷的那條路，和你走的那條路，是同一條嗎？
+#                                （PreToolUse: Bash / Agent / Task）
+#
+# ── 這一格為什麼原本沒有閘（inkstone/ISEP#30 comment 4879 的原話）──────
+#   「所有現有的閘防的是**危險動作**：推 main、推 prod、寫金鑰、打真庫、開重複票。
+#     而『用 kbdb_search 去證明某條路壞了』——不危險、不寫檔、不推 main。
+#     **它只是錯的方法。** ⇒ 閘的座標系裡沒有這一維。」
+#
+# ── 判準：出處，不是措辭 ────────────────────────────────────────────
+#   🔴 驗收條件第 4 條寫死：**不要用關鍵字比對我的措辭**。
+#      leo 2026-08-17 已經證偽過文字層——那天 **8 次誤攔、0 次正確攔截**，
+#      而且方向穩定：紅線寫得越細，命中關鍵字的機率越高 ⇒ **在懲罰謹慎**。
+#
+#   所以這支一個字都不看。它只問一件機械問題：
+#
+#       你正要送出去的這份東西裡，有沒有一個**只在 kbdb_search 的回應裡出現過**
+#       的值（entry id / `kb://` 來源位址）？而那筆資料，這個 session 從來沒有
+#       用產品檢索路徑（graph / wiki 內容）拿過？
+#
+#   ⇒ 兩個條件都成立，才代表「我在拿輔助工具的輸出，當產品檢索路徑的證據」。
+#     這是**資料的出處**，不是我的用詞。值跟動作一樣有限且可枚舉。
+#
+# ── D81：哪條才是產品檢索路徑（leo 2026-08-13 親自裁定）──────────────
+#   `system-dev/docs/2-architecture/decisions/D81-vector-only-for-entity-normalize.md`
+#     「你會用 **graph 找到該找的東西**，用 **LLM wiki 去拉到對的內容**，
+#       所以全量向量化沒意義⋯⋯**向量的目的是用來協助把 entities normalize**。」
+#   ⇒ 主路徑＝graph ＋ wiki 內容；向量／關鍵字搜尋＝**輔助**。
+#
+#   🔴 **這支不會讓 `kbdb_search` 變難用。** 它是合法的基本盤工具，
+#     subagent-wiki-guard.sh 還明文要求「查任何東西之前先用它查 wiki」。
+#     查一筆資料在不在、找 record_id、翻 wiki 找判例——**全部照放**，
+#     因為那些用途不會把 entry id 貼進票裡當證據。
+#
+# ── 真跡（本閘的規格，Arcrun#167 comment 4865 原文照貼）───────────────
+#     $ kbdb_search(q="小果 AFTEE 詐貸")   → count 5
+#     { "id": "e_b77f23a1-b467-4aa4-883c-58a051ab8e66", … }
+#     "metadata_json": "{\"source\":\"kb://小果被AFTEE詐貸.pdf#8\", … }"
+#   ⇒ 那則退回裡**同時**有 entry id 和 `kb://` 位址，兩類指紋都命中，
+#     而整個 session 沒有任何一次 graph／wiki 內容的呼叫。
+#   ⇒ 半小時後 comment 4877：「上一則退回是錯的；真正的缺口是那支工具 MCP 沒有」。
+#     **那半小時裡，一條線被停掉、一張做完的票被退回、一份工單被重寫。**
+#
+# ── 誠實邊界（不補，補了就變成文字層）────────────────────────────────
+#   1. **改寫過的證據抓不到**——「我看到出處還是 `../` 開頭」這種轉述沒有指紋。
+#      但房規本來就要求貼原始輸出（規則四之一、派工鐵律之三），
+#      而貼了原始輸出就會被抓到。**不貼的那條路由別的閘管，不歸這支。**
+#   2. **只認 KBDB 這一族**。別的「錯的驗證路徑」（拿 portal 畫面當 MCP 的證據——
+#      08-27 同一天的另一半）這支看不到，因為那不經過工具呼叫。
+#   3. 想不出乾淨判準的地方就留白，不硬做。
+#      `.claude/branch-holds.md` 檔頭那句：**永遠在響的警報，等於訓練人忽略這個警報。**
+set -uo pipefail
+
+INPUT=$(cat)
+
+SID=$(printf '%s' "$INPUT" | python3 -c "
+import sys, json
+try: print(json.load(sys.stdin).get('session_id','') or 'nosid')
+except Exception: print('nosid')
+" 2>/dev/null || echo nosid)
+
+SEARCH="/tmp/.kbdb-evidence-search-$SID"
+# 這個 session 從來沒用搜尋拿過任何東西 ⇒ 這支沒有立場說話，最便宜的出口放在最前面
+[ -s "$SEARCH" ] || exit 0
+
+WARNED="/tmp/.search-is-not-proof-warned-$SID"
+[ -f "$WARNED" ] && exit 0          # 同一 session 只擋一次，不鬼打牆
+
+# 🔴 env 要 export，不能掛在 `printf` 前面——那樣只餵到 printf，python3 收不到
+export SEARCH_FILE="$SEARCH"
+export WALKED_FILE="/tmp/.kbdb-evidence-walked-$SID"
+
+HIT=$(printf '%s' "$INPUT" | python3 -c '
+import json, os, re, sys
+
+try:
+    d = json.load(sys.stdin)
+except Exception:
+    raise SystemExit                       # 讀不到 payload 就不擋（那不是使用者的錯）
+
+tool = d.get("tool_name") or ""
+ti   = d.get("tool_input") or {}
+if not isinstance(ti, dict):
+    raise SystemExit
+
+# ── ① 這是不是一個「往外送」的動作？──────────────────────────────
+#   往外送 ＝ 這份文字會變成別人的前提：貼進票、關票、記裁決、或發包給另一條線。
+#   只在自己腦袋裡看搜尋結果，永遠不會走到這裡。
+body, kind = "", ""
+
+if tool in ("Agent", "Task"):
+    body = ti.get("prompt") or ""
+    kind = "派工單"
+elif tool == "Bash":
+    cmd = ti.get("command") or ""
+    if not cmd:
+        raise SystemExit
+    outward = False
+    if re.search(r"\bticket\s+(say|close|decide|new|subtask|handback)\b", cmd):
+        outward = True
+    if re.search(r"issues/\d+(/comments)?\b", cmd) and re.search(r"\b(POST|PATCH)\b", cmd):
+        outward = True
+    if not outward:
+        raise SystemExit
+    body, kind = cmd, "票上的留言"
+    # 內文常常放在 -F <檔> 裡，指令本身看不到 ⇒ 跟 comment-carries-task-guard 同一招
+    m = re.search(r"[\s](?:-F|--file)[\s]+(\S+)", cmd)
+    if m and os.path.isfile(m.group(1)):
+        try:
+            body += "\n" + open(m.group(1), encoding="utf-8", errors="replace").read()
+        except Exception:
+            pass
+else:
+    raise SystemExit
+
+if not body:
+    raise SystemExit
+
+# 逃生口（留痕：它會留在指令歷史／派工單上）
+if "search-is-evidence:" in body:
+    raise SystemExit
+
+def load(p):
+    try:
+        with open(p, encoding="utf-8") as f:
+            return {ln.strip() for ln in f if ln.strip()}
+    except Exception:
+        return set()
+
+searched = load(os.environ["SEARCH_FILE"])
+walked   = load(os.environ["WALKED_FILE"])
+
+# ── ② 只在搜尋裡出現過、真路徑沒走過的那些值 ─────────────────────
+#   走過真路徑的（graph / wiki 內容 / query）從候選裡扣掉——
+#   **搜完再去走一次真路徑，本來就是對的做法，不該被罰。**
+only_search = searched - walked
+if not only_search:
+    raise SystemExit
+
+# ── ③ 這些值有沒有真的被貼進要送出去的那份東西裡 ──────────────────
+hits = sorted(v for v in only_search if v in body)
+if not hits:
+    raise SystemExit
+
+print(kind + "\t" + "\t".join(hits[:3]))
+' 2>/dev/null) || exit 0
+
+[ -n "${HIT:-}" ] || exit 0
+
+KIND=$(printf '%s' "$HIT" | cut -f1)
+VALS=$(printf '%s' "$HIT" | cut -f2- | tr '\t' '\n' | sed 's/^/    /')
+
+date +%s > "$WARNED"
+
+cat >&2 <<EOF
+🧭 你正要把 **kbdb_search 掉出來的原始值**，當成證據送進${KIND}裡。
+
+被貼過去的值（這個 session 只在 kbdb_search 的回應裡出現過）：
+$VALS
+
+而這個 session **沒有用產品檢索路徑拿過這幾筆**——
+graph（\`kbdb_graph_neighbors\`）／wiki 內容（\`kbdb_get_record\`）／\`kbdb_query\` 一次都沒有。
+
+【D81｜leo 2026-08-13 親自裁定】
+  「你會用 **graph 找到該找的東西**，用 **LLM wiki 去拉到對的內容**⋯⋯
+    **向量的目的是用來協助把 entities normalize**。」
+  ⇒ 主路徑＝graph ＋ wiki 內容。**搜尋是輔助，不是產品檢索路徑。**
+  🔴 這不是說 \`kbdb_search\` 不能用——它是合法的基本盤工具，查 wiki 本來就該用它。
+     不能做的是**拿它的輸出，去斷定產品檢索那條路是好是壞**。
+
+【它花掉過多少（inkstone/Arcrun#167，2026-08-27）】
+  12:34  comment 4865  用 kbdb_search 的輸出判定「兩個缺陷都還在」→ 退回一張
+                       **已經做完、有測試、東西在 main** 的票，並重派一條線
+  13:08  comment 4877  總管自己更正：「上一則退回是錯的；
+                       真正的缺口是**那支工具 MCP 根本沒有**」
+  ⇒ 真相是那次修的是另一支工具的欄位，\`kbdb_search\` 本來就不會有它。
+    **在用一條錯的路，反覆確認一件錯的事**——而真正的缺口一直沒被看到。
+
+【送出前先回答這一題】
+  **你要下結論的那條路，和你剛才實際走的那條路，是同一條嗎？**
+  （08-27 那則退回自己就寫著：「我當時驗的是 portal 的來源顯示，
+    但這張票的驗收條件是 MCP client 問『原文在哪』。**兩條不同的路。**」）
+
+【出路，挑一條】
+  ① 走一次真的那條路再下結論 —— \`kbdb_graph_neighbors\` / \`kbdb_get_record\` / \`kbdb_query\`
+     走過之後同一筆資料就不再命中本閘（走過的會從候選裡扣掉）。
+  ② **那條路的工具根本不存在** ⇒ **那個才是你要回報的東西**（4877 就是這樣收的）。
+     照實寫「產品檢索路徑上少一支工具」，不要改用搜尋去補位再下判斷。
+  ③ 真的只是引用一筆資料、不是在斷定檢索好壞
+     ⇒ 加 \`search-is-evidence: <一句理由>\` 重送（留痕）。
+
+同一 session 只擋這一次。
+EOF
+exit 2

hooks/subagent-claim-worksheet.sh

@@ -1,196 +0,0 @@
-#!/usr/bin/env bash
-# subagent-claim-worksheet.sh — subagent 交回時，把它的宣稱抽成一張待驗工作單
-#                               （SubagentStop；leo 2026-08-18 立）
-#
-# ── leo 的原話（本閘的規格）─────────────────────────────────────────
-#   「你如何確認說的都是真的？subagent 做完事，你應該在 SubagentStop 掛動作，
-#    **它說可以，你去驗證；它說不行，你想辦法，不行再報告**，
-#    這解決一半的未查證。你常常直接把 subagent 說的不經查證就回報，
-#    **它視野小，它說的你有更多資訊去檢驗**。」
-#
-# ── 為什麼是「工作單檔案」而不是提醒文字 ─────────────────────────────
-# leo 2026-08-17 診斷過：文字層封路是打不贏的軍火競賽，要封**動作**。
-# 所以這支不勸、也不偵測我的措辭——它**在磁碟上放一個必須被處理掉的東西**。
-# 配套的 Stop 閘（claim-verify-police.sh）看的是「那個檔還在不在」，
-# 而檔案只能被動作消滅，不能被文案消滅。
-#
-# ── 兩類宣稱，處理方式不同（leo 的規格就是這兩條）──────────────────
-#   ✅ 它說可以 → 我去驗證（我有跨 repo 視野、有 token、有瀏覽器，它沒有）
-#   ⛔ 它說不行 → 我想辦法（換路徑／查憑證地圖／自己撞一次），真的不行才報告 leo
-#
-# ⚠️ 這裡的關鍵詞比對只用來**列出候選**，不用來判定對錯——
-#    列多了我自己劃掉（要寫理由），列少了不影響我另外查。
-#    ⇒ 它的失敗模式是「多列幾條」，不是「擋錯事」。
-#
-# ── 留痕（InkStoneCo#48：36 支閘只有 2 支記錄自己做了什麼）─────────
-INPUT=$(cat)
-DIR="$CLAUDE_PROJECT_DIR/.claude/pending-verification"
-LOG="$CLAUDE_PROJECT_DIR/.claude/hooks/subagent-claim-worksheet.log"
-mkdir -p "$DIR" 2>/dev/null
-
-OUT=$(printf '%s' "$INPUT" | DIR="$DIR" python3 -c '
-import json, os, re, sys, hashlib
-
-try:
-    d = json.load(sys.stdin)
-except Exception:
-    print("SKIP:bad-json"); raise SystemExit
-
-tp = d.get("transcript_path") or ""
-if not tp or not os.path.exists(tp):
-    print("SKIP:no-transcript"); raise SystemExit
-
-# ── 取 subagent 的交件 ────────────────────────────────────────────
-# 🔴 2026-08-18 首次實跑就抓到自己的缺陷：`SubagentStop` 給的 `transcript_path`
-#    指向**主對話**，不是子代理的紀錄 ⇒ 原本「取最後一則 assistant 訊息」
-#    抓到的是**總管自己寫的句子**，這支 hook 當場退化成它要避免的「文字層自咬」。
-#
-#    正解：子代理的交件是以 `<task-notification>…<result>…</result>` 的形式
-#    進到主對話的 **user 訊息**裡。只認那個區塊，其餘一律不看。
-#    ⇒ 判準回到「這段話是誰說的」，而不是「這段話長什麼樣」。
-last = ""
-try:
-    blob = []
-    with open(tp, "r", encoding="utf-8", errors="replace") as f:
-        for line in f:
-            line = line.strip()
-            if not line:
-                continue
-            try:
-                ev = json.loads(line)
-            except Exception:
-                continue
-            msg = ev.get("message") or {}
-            if msg.get("role") != "user":
-                continue
-            parts = msg.get("content")
-            if isinstance(parts, str):
-                txt = parts
-            elif isinstance(parts, list):
-                txt = "".join(p.get("text", "") for p in parts
-                              if isinstance(p, dict) and p.get("type") == "text")
-            else:
-                txt = ""
-            if "<task-notification>" in txt:
-                blob.append(txt)
-    if blob:
-        m = re.search(r"<result>(.*?)</result>", blob[-1], re.S)
-        last = m.group(1) if m else ""
-except Exception:
-    print("SKIP:read-fail"); raise SystemExit
-
-if not last.strip():
-    print("SKIP:no-subagent-report"); raise SystemExit
-
-if not last.strip():
-    print("SKIP:empty-report"); raise SystemExit
-
-# ── 抽候選宣稱 ──────────────────────────────────────────────────
-# 成功類：它說某件事成立／做好了 ⇒ 我去驗
-OK = ("驗過", "測過", "通過", "全綠", "已部署", "部署完成", "可以用", "成立",
-      "完成", "修好", "已推", "已併", "沒問題", "正常", "一致", "對上",
-      "✅", "green", "passed", "verified", "deployed")
-# 阻擋類：它說做不到 ⇒ 我想辦法，不行才報告 leo
-NG = ("無法", "不行", "做不到", "被擋", "擋下", "失敗", "不存在", "找不到",
-      "沒有權限", "權限不足", "需要 leo", "要 leo", "請總管", "交給你",
-      "❌", "blocked", "denied", "cannot", "failed", "not found")
-
-def lines_of(text):
-    out = []
-    for raw in text.split("\n"):
-        s = raw.strip().lstrip("-*#>| ").strip()
-        if len(s) < 8 or len(s) > 220:
-            continue
-        out.append(s)
-    return out
-
-ls = lines_of(last)
-ok_hits, ng_hits = [], []
-for s in ls:
-    low = s.lower()
-    if any(k in s or k.lower() in low for k in NG):
-        ng_hits.append(s)
-    elif any(k in s or k.lower() in low for k in OK):
-        ok_hits.append(s)
-
-# 兩類都沒有 ⇒ 它交的是純資料／純提問，沒有事實宣稱要驗
-if not ok_hits and not ng_hits:
-    print("SKIP:no-claims"); raise SystemExit
-
-sid = (d.get("session_id") or "nosid")[:8]
-aid = (d.get("agent_id") or d.get("subagent_id") or "")[:10]
-# 🔴 2026-08-21：stamp 原本雜湊「交件路徑」⇒ 同樣的宣稱每回合生一個新檔名，
-# 而且不知道總管已經驗過了。實際發作：同兩條 sdd-guard 宣稱連生四張單
-# （1c97d461／fcb285dc／256de849／394b97ae），驗掉一張下一回合又冒一張。
-# ⇒ 改成雜湊**宣稱內容本身**：同樣的宣稱＝同一個檔名 ⇒ 驗過就不再冒出來。
-_claims = sorted(set(str(x) for x in (ok_hits + ng_hits)))
-# 🔴 空清單就退回舊行為 —— 但那等於這支閘沒抓到任何宣稱，本來就會 SKIP，
-#    所以這個 fallback 實際上不會被用到；留著只是不讓 stamp 變成空字串的雜湊。
-_basis = "\n".join(_claims) if _claims else (tp + sid + aid)
-stamp = hashlib.sha1(_basis.encode()).hexdigest()[:8]
-_name = "claims-%s-%s.md" % (sid, stamp)
-path = os.path.join(os.environ["DIR"], _name)
-
-# 已經驗過並移進 verified/ 的，不要再生一次。
-if os.path.exists(os.path.join(os.environ["DIR"], "verified", _name)):
-    print("SKIP:already-verified"); raise SystemExit
-
-def block(title, items, howto, cap):
-    if not items:
-        return ""
-    body = "\n".join("- [ ] %s" % x for x in items[:cap])
-    more = ""
-    if len(items) > cap:
-        more = "\n- [ ] （還有 %d 條同類，讀原始交件）" % (len(items) - cap)
-    return "## %s\n\n%s\n%s%s\n\n" % (title, howto, body, more)
-
-doc = []
-doc.append("# 待驗工作單（subagent 交回的宣稱）\n")
-doc.append("> leo 2026-08-18：「**它視野小，它說的你有更多資訊去檢驗。**」\n")
-doc.append("> 交件全文在：`%s`\n" % tp)
-doc.append("\n🔴 **這張單子只能用動作消滅，不能用文字消滅。**")
-doc.append("逐條處理完之後，把本檔**刪掉或移走**；在那之前 Stop 閘會擋。\n\n")
-doc.append(block(
-    "✅ 它說「可以」——我要自己驗一次",
-    ok_hits,
-    "判準：**我不採信，我自己跑一次**。它只看得到自己那個 repo 與自己那次呼叫；\n"
-    "我有跨 repo 視野、有 token、有瀏覽器。驗完把證據貼進回覆或票裡。\n",
-    12))
-doc.append(block(
-    "⛔ 它說「不行」——我先想辦法，真的不行才報告 leo",
-    ng_hits,
-    "判準：**它的「不存在／被擋」往往只是「我這裡看不到」**。\n"
-    "先做三件：① 查憑證地圖／wiki ② 換一條路徑 ③ **自己真的撞一次並貼出拒絕原文**。\n"
-    "🔴 沒撞過就不准說「我被 X 擋住」——那是虛構的閘（2026-08-18 已第五次）。\n"
-    "真的是人閘 ⇒ 走三件機械動作：`Human` 標籤 ＋ 指派給 Leo ＋ **一張它自己的票**，\n"
-    "不是在別張票的留言裡寫一段話（leo 08-18：「不是默默塞進錯的地方」）。\n",
-    12))
-
-with open(path, "w", encoding="utf-8") as f:
-    f.write("".join(doc))
-
-print("WROTE:%s:ok=%d:ng=%d" % (os.path.basename(path), len(ok_hits), len(ng_hits)))
-' 2>/dev/null)
-
-printf '%s\t%s\n' "$(date +%FT%T)" "${OUT:-SKIP:no-output}" >> "$LOG" 2>/dev/null
-
-case "$OUT" in
-  WROTE:*)
-    F=$(printf '%s' "$OUT" | cut -d: -f2)
-    N=$(printf '%s' "$OUT" | sed 's/.*ok=\([0-9]*\):ng=\([0-9]*\)/\1 成功宣稱、\2 阻擋宣稱/')
-    cat <<EOF
-🔍 交件查證：subagent 交回了 $N，已列成待驗工作單。
-
-【leo 2026-08-18 的規格】
-  「它說可以，你去驗證；它說不行，你想辦法，不行再報告。
-   **它視野小，它說的你有更多資訊去檢驗。**」
-
-工作單：.claude/pending-verification/$F
-
-🔴 **不要直接把它說的轉給 leo。** 逐條處理完，把那個檔刪掉；在那之前 Stop 閘會擋一次。
-   · 它說「可以」→ 你自己跑一次（測試／curl／瀏覽器／git，看那條宣稱是什麼）
-   · 它說「不行」→ 先換路徑、查憑證地圖；**要說「被擋」就得自己撞一次並貼原文**
-EOF
-    ;;
-esac
-exit 0

hooks/tests/countdown-guard.test.sh

@@ -0,0 +1,224 @@
+#!/usr/bin/env bash
+# countdown-guard.sh 的迴歸測試（inkstone/ISEP#63 → comment 5106）
+#
+# 三個方向都要有證據，對應票上那三條驗收：
+#   A 群「注入」—— 新 session 什麼都沒交代，那一行就在；數字對得上；連續呼叫遞增
+#   B 群「查核該擋」—— 回覆沒戴倒數 ⇒ 擋一次，且把算好的那一行印出來給它抄
+#   C 群「查核不該擋」—— 誤攔比漏擋更該修：純工具回合／子 session／已提醒過／
+#                       transcript 讀不到，全部放行
+#
+# 用法：hooks/tests/countdown-guard.test.sh [hooks/countdown-guard.sh 的路徑]
+# 🔴 全程離線：時鐘用 ISEP_COUNTDOWN_NOW 定住、狀態走 ISEP_COUNTDOWN_STATE_DIR，
+#    不打網路、不碰 $HOME、跑完自己清。
+set -u
+HOOK="${1:-$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)/countdown-guard.sh}"
+TMP=$(mktemp -d)
+trap 'rm -rf "$TMP"' EXIT
+export ISEP_COUNTDOWN_STATE_DIR="$TMP/state"
+mkdir -p "$ISEP_COUNTDOWN_STATE_DIR"
+
+PASS=0; FAIL=0
+
+# 定住的時鐘：2026-08-28 08:00 台北 ＝ 2026-08-28 00:00 UTC
+T0=$(python3 -c 'import datetime as d;print(int(d.datetime(2026,8,28,0,0,tzinfo=d.timezone.utc).timestamp()))')
+H=3600
+
+ok(){ printf '  ✅ %s\n' "$1"; PASS=$((PASS+1)); }
+no(){ printf '  ❌ %s —— %s\n' "$1" "$2"; FAIL=$((FAIL+1)); }
+
+# mk_transcript <檔> <起始 epoch> —— 一則帶時間戳的使用者訊息，當作對話起點
+mk_transcript(){
+  python3 - "$1" "$2" <<'PY'
+import datetime as d, json, sys
+p, ts = sys.argv[1], int(sys.argv[2])
+iso = d.datetime.fromtimestamp(ts, d.timezone.utc).isoformat().replace("+00:00", "Z")
+with open(p, "w") as f:
+    f.write(json.dumps({"type": "user", "timestamp": iso,
+                        "message": {"content": [{"type": "text", "text": "開工"}]}}) + "\n")
+PY
+}
+
+# add_turn <檔> <spec>... —— spec：`T:<文字>` assistant 文字；`U:<工具>` tool_use；
+#                                   `R:` 一列工具結果（不算新回合的分界）
+add_turn(){
+  python3 - "$@" <<'PY'
+import json, sys
+path, specs = sys.argv[1], sys.argv[2:]
+rows = []
+blocks = []
+for s in specs:
+    k, v = s.split(":", 1)
+    if k == "T":
+        blocks.append({"type": "text", "text": v})
+    elif k == "U":
+        blocks.append({"type": "tool_use", "name": v, "id": "t", "input": {}})
+    elif k == "R":
+        rows.append({"type": "user", "message": {"content": [
+            {"type": "tool_result", "tool_use_id": "t", "content": "ok"}]}})
+with open(path, "a") as f:
+    f.write(json.dumps({"type": "user", "message": {"content": [
+        {"type": "text", "text": "繼續"}]}}, ensure_ascii=False) + "\n")
+    for r in rows:
+        f.write(json.dumps(r, ensure_ascii=False) + "\n")
+    if blocks:
+        f.write(json.dumps({"type": "assistant", "message": {"content": blocks}},
+                           ensure_ascii=False) + "\n")
+PY
+}
+
+# inject <session> <transcript> <now epoch> —— 跑注入模式，回傳 additionalContext
+inject(){
+  printf '{"hook_event_name":"UserPromptSubmit","session_id":"%s","transcript_path":"%s"}' "$1" "$2" \
+    | ISEP_COUNTDOWN_NOW="$3" bash "$HOOK" 2>/dev/null \
+    | python3 -c 'import json,sys
+try: print(json.load(sys.stdin)["hookSpecificOutput"]["additionalContext"])
+except Exception: print("")'
+}
+
+# stop <session> <transcript> <now epoch> <extra json> —— 跑查核模式，回傳 "exit|訊息"
+stop(){
+  # 🔴 明著把 CLAUDE_CODE_CHILD_SESSION 清掉：測試本身常常跑在一條 subagent 裡，
+  #    而那正是本閘刻意放行的情況 ⇒ 不清掉的話 B 群會全綠，而且是**假綠**
+  #    （2026-08-28 第一次跑就撞到：B 群三條全 exit 0，因為跑測試的就是子 session）。
+  out=$(printf '{"hook_event_name":"Stop","session_id":"%s","transcript_path":"%s"%s}' "$1" "$2" "${4:-}" \
+        | ISEP_COUNTDOWN_NOW="$3" CLAUDE_CODE_CHILD_SESSION= CLAUDE_PROJECT_DIR="$TMP" \
+          bash "$HOOK" 2>&1); rc=$?
+  printf '%s|%s' "$rc" "$(printf '%s' "$out" | tr '\n' ' ')"
+}
+
+echo "── A 群：注入（每一則回覆眼前都有那一行）────────────────────────"
+
+TR="$TMP/a1.jsonl"; mk_transcript "$TR" "$T0"
+CTX=$(inject s-a1 "$TR" "$T0")
+case "$CTX" in
+  *"⏱"*) ok "① 新 session 什麼都沒交代 ⇒ 注入的內容帶著標記" ;;
+  *) no "① 新 session 什麼都沒交代 ⇒ 注入的內容帶著標記" "實得：$CTX" ;;
+esac
+case "$CTX" in
+  *"已過 0 分"*) ok "② 剛開工 ⇒ 已過 0 分" ;;
+  *) no "② 剛開工 ⇒ 已過 0 分" "實得：$CTX" ;;
+esac
+# 台北 08:00 → 16:00 收工線還有 8 小時
+case "$CTX" in
+  *"距收工線（台北 16:00）剩 8 小時"*) ok "③ 台北 08:00 ⇒ 距收工線剩 8 小時" ;;
+  *) no "③ 台北 08:00 ⇒ 距收工線剩 8 小時" "實得：$CTX" ;;
+esac
+
+# 票上驗收 2：數字要對得上真實經過的時間（期望 2 小時 13 分）
+CTX=$(inject s-a1 "$TR" $((T0 + 2*H + 13*60)))
+case "$CTX" in
+  *"已過 2 小時 13 分"*) ok "④ 過了 2h13m ⇒ 顯示「已過 2 小時 13 分」（期望＝實得）" ;;
+  *) no "④ 過了 2h13m ⇒ 顯示「已過 2 小時 13 分」" "實得：$CTX" ;;
+esac
+
+# 票上驗收 3：連續幾則要遞增，不歸零、不亂跳
+LAST=-1; SEQ_OK=1
+for k in 0 1 3 5; do
+  CTX=$(inject s-a1 "$TR" $((T0 + k*H)))
+  got=$(printf '%s' "$CTX" | sed -n 's/.*已過 \([0-9]*\) 小時.*/\1/p')
+  [ -z "$got" ] && got=0
+  [ "$got" -ge "$LAST" ] || SEQ_OK=0
+  LAST="$got"
+done
+[ "$SEQ_OK" = 1 ] && ok "⑤ 連續四則（0/1/3/5 小時）⇒ 遞增，不歸零不亂跳" \
+                  || no "⑤ 連續四則 ⇒ 遞增" "第 $LAST 則往回跳了"
+
+# resume：同一個 session 換一份較早起點的 transcript，起點取較早的那個
+TR2="$TMP/a2.jsonl"; mk_transcript "$TR2" $((T0 - 5*H))
+CTX=$(inject s-a1 "$TR2" "$T0")
+case "$CTX" in
+  *"已過 5 小時"*) ok "⑥ resume（transcript 起點更早）⇒ 昨天燒掉的時間仍然算" ;;
+  *) no "⑥ resume ⇒ 起點取較早" "實得：$CTX" ;;
+esac
+
+# 過了收工線：台北 17:30 ⇒ 顯示超過，不准悄悄換算成明天
+CTX=$(inject s-late "$TMP/a3.jsonl" $((T0 + 9*H + 30*60)))
+case "$CTX" in
+  *"已超過收工線"*) ok "⑦ 台北 17:30 ⇒ 顯示「已超過收工線」（超時不許消失）" ;;
+  *) no "⑦ 台北 17:30 ⇒ 顯示已超過" "實得：$CTX" ;;
+esac
+# 台北 21:00（過線四小時後）⇒ 滾到隔天 16:00，剩 19 小時
+CTX=$(inject s-next "$TMP/a4.jsonl" $((T0 + 13*H)))
+case "$CTX" in
+  *"距收工線（台北 16:00）剩 19 小時"*) ok "⑧ 台北 21:00 ⇒ 滾到隔天，剩 19 小時" ;;
+  *) no "⑧ 台北 21:00 ⇒ 滾到隔天" "實得：$CTX" ;;
+esac
+
+# milestone：沒有快取就整段不出現（不准編一個日期出來）
+case "$CTX" in
+  *"主線"*) no "⑨ 沒有 milestone 快取 ⇒ 那一段不出現" "實得：$CTX" ;;
+  *) ok "⑨ 沒有 milestone 快取 ⇒ 那一段不出現（不編數字）" ;;
+esac
+printf '2026-08-30|Sprint 8-28\n' > "$ISEP_COUNTDOWN_STATE_DIR/milestone-due"
+CTX=$(inject s-ms "$TMP/a5.jsonl" "$T0")
+case "$CTX" in
+  *"主線 Sprint 8-28 剩"*) ok "⑩ 有 milestone 快取 ⇒ 期限那一段出現" ;;
+  *) no "⑩ 有 milestone 快取 ⇒ 期限那一段出現" "實得：$CTX" ;;
+esac
+rm -f "$ISEP_COUNTDOWN_STATE_DIR/milestone-due"
+
+echo "── B 群：查核——該擋 ────────────────────────────────────────────"
+
+TR="$TMP/b1.jsonl"; mk_transcript "$TR" "$T0"
+add_turn "$TR" 'U:Read' 'T:做完了，改了三個檔。'
+R=$(stop s-b1 "$TR" $((T0 + 2*H)))
+[ "${R%%|*}" = 2 ] && ok "⑪ 回覆沒戴倒數 ⇒ 擋" || no "⑪ 回覆沒戴倒數 ⇒ 擋" "實得 exit=${R%%|*}"
+case "${R#*|}" in
+  *"已過 2 小時"*) ok "⑫ 擋下時把算好的那一行印出來給它抄（不是叫它自己算）" ;;
+  *) no "⑫ 擋下時印出算好的那一行" "實得：${R#*|}" ;;
+esac
+
+# 回合邊界：上一回合戴了、這一回合沒戴 ⇒ 還是要擋
+TR="$TMP/b2.jsonl"; mk_transcript "$TR" "$T0"
+add_turn "$TR" 'T:⏱ 已過 1 小時｜距收工線剩 7 小時。上一回合戴過了。'
+add_turn "$TR" 'U:Edit' 'T:這回合忘了戴。'
+R=$(stop s-b2 "$TR" $((T0 + 2*H)))
+[ "${R%%|*}" = 2 ] && ok "⑬ 只有上一回合戴 ⇒ 這一回合仍要擋（回合邊界對）" \
+                  || no "⑬ 只有上一回合戴 ⇒ 仍要擋" "實得 exit=${R%%|*}"
+
+echo "── C 群：查核——不該擋（誤攔比漏擋更該修）──────────────────────"
+
+TR="$TMP/c1.jsonl"; mk_transcript "$TR" "$T0"
+add_turn "$TR" 'U:Read' 'T:⏱ 已過 2 小時｜距收工線（台北 16:00）剩 6 小時 —— 做完了。'
+R=$(stop s-c1 "$TR" $((T0 + 2*H)))
+[ "${R%%|*}" = 0 ] && ok "⑭ 回覆戴了倒數 ⇒ 放行" || no "⑭ 回覆戴了倒數 ⇒ 放行" "實得 exit=${R%%|*}"
+
+TR="$TMP/c2.jsonl"; mk_transcript "$TR" "$T0"
+add_turn "$TR" 'T:上一回合。'
+add_turn "$TR" 'U:Read' 'T:⏱ 已過 2 小時｜這一回合戴了。'
+R=$(stop s-c2 "$TR" $((T0 + 2*H)))
+[ "${R%%|*}" = 0 ] && ok "⑮ 這一回合戴了、上一回合沒戴 ⇒ 放行" \
+                  || no "⑮ 這一回合戴了 ⇒ 放行" "實得 exit=${R%%|*}"
+
+TR="$TMP/c3.jsonl"; mk_transcript "$TR" "$T0"
+add_turn "$TR" 'U:Read' 'R:' 'U:Grep'
+R=$(stop s-c3 "$TR" $((T0 + 2*H)))
+[ "${R%%|*}" = 0 ] && ok "⑯ 純工具回合（沒有任何文字）⇒ 放行，沒有東西可以戴" \
+                  || no "⑯ 純工具回合 ⇒ 放行" "實得 exit=${R%%|*}"
+
+TR="$TMP/c4.jsonl"; mk_transcript "$TR" "$T0"
+add_turn "$TR" 'T:沒戴。'
+R=$(stop s-c4 "$TR" $((T0 + 2*H)) ',"stop_hook_active":true')
+[ "${R%%|*}" = 0 ] && ok "⑰ 已經提醒過一次（stop_hook_active）⇒ 放行，至多擋一次" \
+                  || no "⑰ stop_hook_active ⇒ 放行" "實得 exit=${R%%|*}"
+
+TR="$TMP/c5.jsonl"; mk_transcript "$TR" "$T0"
+add_turn "$TR" 'T:我是 subagent，交件給總管。'
+out=$(printf '{"hook_event_name":"Stop","session_id":"s-c5","transcript_path":"%s"}' "$TR" \
+      | ISEP_COUNTDOWN_NOW=$((T0 + 2*H)) CLAUDE_CODE_CHILD_SESSION=1 \
+        CLAUDE_PROJECT_DIR="$TMP" bash "$HOOK" 2>&1); rc=$?
+[ "$rc" = 0 ] && ok "⑱ 子 session（subagent）⇒ 放行，它的回覆不是給 leo 看的" \
+             || no "⑱ 子 session ⇒ 放行" "實得 exit=$rc"
+
+R=$(stop s-c6 "$TMP/does-not-exist.jsonl" $((T0 + 2*H)))
+[ "${R%%|*}" = 0 ] && ok "⑲ transcript 讀不到 ⇒ 放行（節拍器壞掉不該卡死 session）" \
+                  || no "⑲ transcript 讀不到 ⇒ 放行" "實得 exit=${R%%|*}"
+
+printf 'not json at all\n{{{\n' > "$TMP/c7.jsonl"
+R=$(stop s-c7 "$TMP/c7.jsonl" $((T0 + 2*H)))
+[ "${R%%|*}" = 0 ] && ok "⑳ transcript 是壞的 ⇒ 放行，不是擋" \
+                  || no "⑳ transcript 壞掉 ⇒ 放行" "實得 exit=${R%%|*}"
+
+echo
+echo "結果：通過 $PASS 條，失敗 $FAIL 條"
+[ "$FAIL" -eq 0 ] || exit 1

hooks/tests/dispatch-format-guard.test.sh

@@ -0,0 +1,228 @@
+#!/usr/bin/env bash
+# dispatch-format-guard.sh 的迴歸測試（inkstone/ISEP#30 comment 4322／4325／4327）。
+#
+# **離線、不打網路、不花錢、每次結果一樣**——這支閘是純結構判斷，沒有語意判官，
+# 所以它不像 ask-user-question-guard 那樣需要一支 live 測試量準度。
+#
+# 三群，兩個方向都要有證據：
+#   A 群「該放行」——合規的派工（只有票號）、不是派工的動作、沒有【工單】（別人的地盤）、
+#                    豁免戳記；**而且合規時要真的把共通規定注入出去**
+#   B 群「該擋」  ——真跡一份（那 5 次違規裡唯一還拿得回來的），
+#                    加上一條規則一個最小案例
+#   C 群「訊息本身」——講得出出路、沒有被 shell 展開
+#
+# 用法：hooks/tests/dispatch-format-guard.test.sh [hook 路徑]
+
+set -u
+HERE="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
+HOOK="${1:-$(cd "$HERE/.." && pwd)/dispatch-format-guard.sh}"
+FIX="$HERE/fixtures"
+
+PASS=0; FAIL=0; N=0
+
+# payload <prompt 檔或字串> [tool_name]
+payload() {
+  python3 - "$1" "${2:-Task}" <<'PY'
+import json, os, sys
+src, tool = sys.argv[1], sys.argv[2]
+prompt = open(src, encoding="utf-8").read() if os.path.isfile(src) else src
+print(json.dumps({"session_id": "S-TEST", "hook_event_name": "PreToolUse",
+                  "tool_name": tool, "tool_input": {"prompt": prompt}},
+                 ensure_ascii=False))
+PY
+}
+
+# t <期望 exit> <說明> <payload JSON>
+t() {
+  want="$1"; desc="$2"; body="$3"
+  N=$((N+1))
+  err=$(printf '%s' "$body" | bash "$HOOK" 2>&1 >/dev/null); rc=$?
+  if [ "$rc" -eq "$want" ]; then
+    printf '  ✅ %s\n' "$desc"; PASS=$((PASS+1))
+  else
+    printf '  ❌ %s —— 期望 exit=%s，實得 exit=%s\n' "$desc" "$want" "$rc"
+    printf '%s\n' "$err" | sed -n '1,6p' | sed 's/^/     /'
+    FAIL=$((FAIL+1))
+  fi
+}
+
+clean() { rm -f /tmp/.dispatch-ok-S-TEST 2>/dev/null || true; }
+
+echo "── A 群：該放行 ────────────────────────────────────────────────"
+clean
+
+t 0 "① 合規：整份派工單只有一行票號" \
+  "$(payload '【工單】inkstone/ISEP#30 → comment 4322')"
+
+t 0 "② 合規：兩張票就兩行【工單】" \
+  "$(payload '【工單】inkstone/ISEP#30
+【工單】inkstone/InkStoneCo#55')"
+
+t 0 "③ 合規：用 #issuecomment- 定址也認得" \
+  "$(payload '【工單】inkstone/ISEP#30#issuecomment-4327')"
+
+# ── inkstone/ISEP#65：CLAUDE.md 規定的合格格式（全形／半形括號包住 → comment M）
+#    曾經被本閘自己擋下——這裡把它釘成迴歸測試，不再走回頭路。
+t 0 "③b 合規：全形括號包住 → comment M（CLAUDE.md 標準寫法，曾被自己的閘擋下）" \
+  "$(payload '【工單】inkstone/ISEP#65（→ comment 4515）')"
+
+t 0 "③c 合規：半形括號變體" \
+  "$(payload '【工單】inkstone/ISEP#65(→ comment 4515)')"
+
+# ── inkstone/ISEP#65 test 4：不該擋的三種雜訊 ────────────────────────
+t 0 "③d 不該擋：票號後面只有空行" \
+  "$(payload '【工單】inkstone/ISEP#65
+
+')"
+
+t 0 "③e 不該擋：票號後面只有一句「謝謝」（零資訊禮貌收尾，白名單豁免）" \
+  "$(payload '【工單】inkstone/ISEP#65
+謝謝')"
+
+t 0 "③f 不該擋：禮貌收尾帶標點也認得（「謝謝！」）" \
+  "$(payload '【工單】inkstone/ISEP#65
+謝謝！')"
+
+t 2 "③g 白名單不是漏洞：禮貌詞混在真內容裡照樣算數" \
+  "$(payload '【工單】inkstone/ISEP#65
+辛苦了，順便告訴你 main 現在是 8e28041')"
+
+t 0 "④ 不是派工的動作（Bash）→ 一律不管" \
+  '{"tool_name":"Bash","tool_input":{"command":"ls"}}'
+
+t 0 "⑤ 整包不是合法 JSON → fail-open" 'this is not json at all'
+
+t 0 "⑥ 沒有【工單】→ 閉嘴，那是 no-ticket-no-dispatch 的地盤（不准兩支閘同時開口）" \
+  "$(payload '去把 arcrun 那個 worker 修一修，順便跑一下測試')"
+
+# 注入：合規時要真的把共通規定送出去（leo 的驗收條件之一——
+#       「收工方**沒讀派工單**也知道要貼回原票」）
+N=$((N+1))
+inj=$(printf '%s' "$(payload '【工單】inkstone/ISEP#30')" | bash "$HOOK" 2>/dev/null)
+if printf '%s' "$inj" | python3 -c '
+import sys, json
+d = json.load(sys.stdin)
+c = d["hookSpecificOutput"]["additionalContext"]
+assert "貼回那張票" in c, "沒有交件方式"
+assert "【身份】" in c, "沒有身份欄規定"
+assert "不准 push" in c, "沒有 main 紅線"
+' 2>/dev/null; then
+  printf '  ✅ ⑦ 合規的派工會被注入共通規定（交件方式＋身份欄＋不准 push main）\n'; PASS=$((PASS+1))
+else
+  printf '  ❌ ⑦ 共通規定沒有被注入，或缺了其中一項\n'
+  printf '%s\n' "$inj" | sed -n '1,4p' | sed 's/^/     /'
+  FAIL=$((FAIL+1))
+fi
+
+clean
+touch /tmp/.dispatch-ok-S-TEST
+t 0 "⑧ 明示豁免戳記在 → 放行一次" \
+  "$(payload '【工單】inkstone/ISEP#30
+這一次真的有例外')"
+N=$((N+1))
+if [ -f /tmp/.dispatch-ok-S-TEST ]; then
+  printf '  ❌ ⑧b 豁免戳記用完沒被消掉（會變成永久開關）\n'; FAIL=$((FAIL+1))
+else
+  printf '  ✅ ⑧b 豁免戳記用完就消失，不是永久開關\n'; PASS=$((PASS+1))
+fi
+clean
+
+echo
+echo "── B 群：該擋 ──────────────────────────────────────────────────"
+
+t 2 "⑨ **真跡**：產生 ISEP#30 這條線的那一次派工（散文開場＋指令圍欄＋三點就地＋交件）" \
+  "$(payload "$FIX/real-violation-isep30.txt")"
+
+t 2 "⑩ 只多一行散文——沒有「一句而已」這種豁免" \
+  "$(payload '【工單】inkstone/ISEP#30
+記得先讀 CLAUDE.md')"
+
+t 2 "⑪ 帶【交件】——那是「每次都一樣」，該進共通規定" \
+  "$(payload '【工單】inkstone/ISEP#30
+【交件】貼回 inkstone/ISEP#30，回報分支名')"
+
+t 2 "⑫ 帶【就地】——那是「這次才知道」，該寫進票" \
+  "$(payload '【工單】inkstone/ISEP#30
+【就地】main 現在是 8e7e265')"
+
+t 2 "⑬ 帶【人格】——已收回的欄位" \
+  "$(payload '【工單】inkstone/ISEP#30
+【人格】ISEP plugin 維護者')"
+
+t 2 "⑭ 票號形狀不對（裸號，跨 repo 會撞號）" \
+  "$(payload '【工單】#30')"
+
+t 2 "⑮ 內容躲在圍欄裡也算數（圍欄只讓裡面的【】不被當欄位，不讓內容變成不存在）" \
+  "$(payload '【工單】inkstone/ISEP#30
+```
+【就地】main 現在是 8e7e265
+```')"
+
+# ── inkstone/ISEP#65 test 5：拿「寫完規則之後總管又犯的 8 次」當回歸樣本 ──
+#    內容是從各自票的真實內文摘錄（hooks/tests/fixtures/README.md 記著來歷），
+#    不是想像出來的例子。8 種形狀都要被擋，證明這不是只補了一個特例。
+t 2 "⑮b 回歸：ISEP#60 那次的內容（自造第四套機制的診斷）" \
+  "$(payload "$FIX/real-content-isep60.txt")"
+
+t 2 "⑮c 回歸：ISEP#61 那次的內容（push-guard 戳記機制失敗史）" \
+  "$(payload "$FIX/real-content-isep61.txt")"
+
+t 2 "⑮d 回歸：ISEP#64 那次的內容（PR 分診現況數字）" \
+  "$(payload "$FIX/real-content-isep64.txt")"
+
+t 2 "⑮e 回歸：Arcrun#142 那次的內容（庫索引從沒被產生過）" \
+  "$(payload "$FIX/real-content-arcrun142.txt")"
+
+t 2 "⑮f 回歸：Arcrun#144 那次的內容（樹狀圖驗收記錄）" \
+  "$(payload "$FIX/real-content-arcrun144.txt")"
+
+t 2 "⑮g 回歸：Arcrun#165 那次的內容（MCP 徹查現場）" \
+  "$(payload "$FIX/real-content-arcrun165.txt")"
+
+t 2 "⑮h 回歸：arcrun-rag#104 那次的內容（收檔實測數字）" \
+  "$(payload "$FIX/real-content-arcrunrag104.txt")"
+
+t 2 "⑮i 回歸：InkStoneCo#102 那次的內容（milestone 打假背景）" \
+  "$(payload "$FIX/real-content-inkstoneco102.txt")"
+
+echo
+echo "── C 群：訊息本身 ──────────────────────────────────────────────"
+clean
+msg=$(printf '%s' "$(payload "$FIX/real-violation-isep30.txt")" | bash "$HOOK" 2>&1 >/dev/null)
+
+N=$((N+1))
+if printf '%s' "$msg" | grep -q '這句話換一張票還成立嗎' \
+   && printf '%s' "$msg" | grep -q '共通規定' \
+   && printf '%s' "$msg" | grep -q '寫進那張票'; then
+  printf '  ✅ ⑯ 訊息講得出判準與兩條出路（共通規定／寫進票）\n'; PASS=$((PASS+1))
+else
+  printf '  ❌ ⑯ 訊息缺了判準或其中一條出路\n'
+  printf '%s\n' "$msg" | sed -n '1,10p' | sed 's/^/     /'
+  FAIL=$((FAIL+1))
+fi
+
+# 迴歸：訊息裡的反引號一度在別支閘被 shell 當成命令替換執行掉
+#   （2026-08-26 ask-user-question-guard：閘照擋，但**它教人怎麼解的那兩行變成空白**）
+N=$((N+1))
+if printf '%s' "$msg" | grep -q 'scripts/ticket say' \
+   && printf '%s' "$msg" | grep -q 'touch /tmp/.dispatch-ok-S-TEST' \
+   && ! printf '%s' "$msg" | grep -qi 'is a directory\|command not found'; then
+  printf '  ✅ ⑰ 訊息原文照印：反引號沒被當命令執行，出路那兩行沒有變空白\n'; PASS=$((PASS+1))
+else
+  printf '  ❌ ⑰ 訊息被 shell 展開了（指令消失，或冒出 shell 錯誤）\n'
+  printf '%s\n' "$msg" | sed -n '1,20p' | sed 's/^/     /'
+  FAIL=$((FAIL+1))
+fi
+
+# 訊息要點名是哪一格違規（可迭代的最小單位——leo 4325：「照這種散文寫法根本無法迭代」）
+N=$((N+1))
+if printf '%s' "$msg" | grep -q '派工單不只有票號'; then
+  printf '  ✅ ⑱ 訊息點得出違反的是哪一條規則，不是一句籠統的「格式不對」\n'; PASS=$((PASS+1))
+else
+  printf '  ❌ ⑱ 訊息沒有點名違反哪一條\n'; FAIL=$((FAIL+1))
+fi
+
+clean
+echo
+echo "══ $PASS/$N 通過${FAIL:+，$FAIL 個失敗} ══"
+[ "$FAIL" -eq 0 ]

hooks/tests/fixtures/README.md

@@ -0,0 +1,32 @@
+# 測資的來歷
+
+`real-violation-isep30.txt` 是**真的發生過的那一份派工單**，一字未改（只把家目錄路徑
+換成 `/Users/x` 去識別）——它就是產生 `inkstone/ISEP#30` 這條線的那一次派工。
+
+leo 2026-08-27 要的測資是「今天實際發生的 5 次違規派工」
+（`arcrun-rag#104`／`Arcrun#142`／`Arcrun#127`／`Arcrun#144`／`InkStoneCo#55`）。
+
+🔴 **其中 4 份拿不回來了。** 它們住在那幾次派工的 prompt 裡，agent 結束就沒了——
+**這件事本身就是這條規則的證據**（4327：「那個 agent 被停掉／換人接手，
+那段事實就消失了」）。所以這裡只放拿得到的那一份真跡，
+其餘的覆蓋率改用「一條規則一個最小案例」來補（見 dispatch-format-guard.test.sh B 群）。
+
+**不要用想像出來的例子替補那 4 份**，那會讓測試看起來比實際更綠。
+
+---
+
+## 第二批：`real-content-*.txt`（inkstone/ISEP#65）
+
+leo 2026-08-27 又在同一天抓到總管**寫完規則之後又犯了 8 次**（八條線的派工單，
+每一條都帶了「這個 session 才知道的事」）：`ISEP#60`／`#61`／`#64`、
+`Arcrun#142`／`#144`／`#165`、`arcrun-rag#104`、`InkStoneCo#102`。
+
+🔴 **原始的違規派工 prompt 本身一樣拿不回來**（同一個道理：agent 一停就蒸發），
+但這 8 次的**內容已經被總管補寫回各自的票**（ISEP#65 body 明講）。
+這裡的 8 份 `real-content-*.txt` 是**從那些票的真實內文摘錄**（一字未改地複製，
+只是截取一段，並在最前面加回 `【工單】owner/repo#N` 讓它符合派工單的殼）——
+不是想像出來的例子，是真的存在於 Gitea 上、總管真的寫過的句子，只是原本的位置
+錯了（在 prompt 裡，不在票上）。
+
+用途：驗證 dispatch-format-guard.sh 修完 ISEP#65 之後，**這 8 種「票號 + 這個
+session 才知道的事」的形狀全部會被擋下**——不是只驗一個最小案例。

hooks/tests/fixtures/real-content-arcrun142.txt

@@ -0,0 +1,5 @@
+【工單】inkstone/Arcrun#142
+
+實查結論：這兩樣東西（庫索引與全庫摘要）從沒被產生過，不是壞掉，是根本沒做。
+於是「開場就知道有哪些子庫、各裝了什麼」這件事永遠靠現查，查不到就當作沒有。
+相關：inkstone/Arcrun#81、#87、#100（總圖說 0 條關聯，實際 1854 條）。

hooks/tests/fixtures/real-content-arcrun144.txt

@@ -0,0 +1,5 @@
+【工單】inkstone/Arcrun#144
+
+leo 明講「不要現在執行，記下來」，本票只是把它接住，開工前要先確認優先序。
+測試 OK，出現了樹狀圖，但不符合需求——達成的是 mindmap 向右向上分佈，
+上下間距很大、展開字很小，用戶要擁有觸控板否則很難閱讀。

hooks/tests/fixtures/real-content-arcrun165.txt

@@ -0,0 +1,5 @@
+【工單】inkstone/Arcrun#165
+
+不要先修，先查清楚再說——現在連斷在哪都還沒人講得出來。
+已知的現場（總管 2026-08-26 用 MCP 實查，不是讀 code 推的）：同一個知識庫
+（youlin／yuga3bse），同一套 MCP 工具，四次查詢分數與筆數都對不上。

hooks/tests/fixtures/real-content-arcrunrag104.txt

@@ -0,0 +1,5 @@
+【工單】inkstone/arcrun-rag#104
+
+現況（總管 2026-08-14 實測，非推測）：leo 把 5 個資料夾接上重裝後的 leo21c，
+App 顯示你的檔案 12022 共幾份、819 已送上去、11183 排隊中、20 送不上去。
+逐資料夾實數（find 計 .md/.pdf/.txt，已排除 node_modules／.git）。

hooks/tests/fixtures/real-content-inkstoneco102.txt

@@ -0,0 +1,5 @@
+【工單】inkstone/InkStoneCo#102
+
+背景（同一天稍早，leo 對同一件事說過的重話）：昨天要完成 51，你現在還有沒派的，
+去看看 milestone 一大堆沒有一個完成，現在整理，不要詐騙，去看清楚哪些完成的。
+Gitea 的百分比只數票的開關，它不知道票裡的東西通了沒。

hooks/tests/fixtures/real-content-isep60.txt

@@ -0,0 +1,6 @@
+【工單】inkstone/ISEP#60
+
+`subagent-claim-worksheet.sh`（`SubagentStop` 產待驗單）與 `claim-verify-police.sh`
+（`Stop` 擋收工）這一套自造的第四套機制整個移除，它守的東西改由 Gitea 原生的三格承接
+（子票相依／tag／指派——見 `inkstone/ISEP#59` 與 PR `#58`）。
+`#issuecomment-4289` 量到同一份待驗單重生三次、同內容兩個檔名。

hooks/tests/fixtures/real-content-isep61.txt

@@ -0,0 +1,5 @@
+【工單】inkstone/ISEP#61
+
+`main-and-prod-push-guard.sh` 的戳記機制已經走進死路：原設計用
+`CLAUDE_CODE_CHILD_SESSION=1` 判斷 subagent，實測結果總管主 session 也是 1，
+那個變數不是身分標記，誰都擋。改成戳記（`/tmp/.main-push-ok`，總管手動寫）也失敗。

hooks/tests/fixtures/real-content-isep64.txt

@@ -0,0 +1,6 @@
+【工單】inkstone/ISEP#64
+
+現況（總管實查，2026-08-27 12:40）：open PR 總數 23，總管已關掉 8 個「內容早就在
+main」的空 PR，剩 15 個要分診。已關的 8 個實測 git merge-base --is-ancestor 證明
+HEAD 已是 main 的祖先，diff +0/-0：Arcrun#166／#161／#158／#155／#153、
+arcrun-rag#142／#141／#139。

hooks/tests/fixtures/real-violation-isep30.txt

@@ -0,0 +1,17 @@
+你要動 **ISEP plugin**（Gitea `inkstone/ISEP`，全機共用的閘）。開工前先讀該 repo 的 CLAUDE.md 與 `system-dev/wiki/`。
+
+【工單】`inkstone/ISEP#30` → **comment 4322**（任務全文在那則，去讀它）
+
+```
+TOKEN=$(cd /Users/x/InkStoneCo && git remote get-url gitea | sed -E 's|.*//[^:]+:([^@]+)@.*|\1|')
+curl -s -H "Authorization: token $TOKEN" "https://git.uncle6.me/api/v1/repos/inkstone/ISEP/issues/30/comments?limit=60"
+```
+
+這個 session 才知道、票上還沒有的事：
+
+- `~/Documents/tech_projects/` 若讀不到（macOS TCC），立刻回報，不要硬撐；今天稍早發生過，leo 已開權限
+- 正本也可從 `~/.claude/plugins/marketplaces/inkstone` clone（origin 是 `inkstone/ISEP.git`），
+  今天 `v0.4.0` 那條線就是這樣施工的
+- `main` 現在是 `8e7e265`（`v0.4.0`，`ask-user-question-guard.sh` 剛上線）
+
+交件：貼回 `inkstone/ISEP#30`，回報分支名。

hooks/tests/lib/hook-sandbox.sh

@@ -0,0 +1,101 @@
+# hooks/tests/lib/hook-sandbox.sh — 讓「會寫檔的閘」在測試時寫到暫存區，不寫進 repo。
+# 不是獨立掛的閘（沒進 hooks.json），給 hooks/tests 與 scripts/test-* `source` 用。
+#
+# 🔴 為什麼需要這支（inkstone/ISEP#59 comment 4779 第 ① 條，實測重演過）：
+#   main-and-prod-push-guard.sh 擋下「推 main」的同時，會把那次請求寫成一份
+#   `<hooks 的上一層>/pending-main-push/<誰>--<repo>.md`——**那份檔案的語意是
+#   「有一筆推 main 正在等總管裁」**。而測試的測資本來就全是「推 main」，
+#   於是每跑一次測試，工作區就多／改幾筆**偽造的待裁決**：
+#
+#     $ git status --short          # 跑完測試之後（修之前的實測）
+#      M pending-main-push/unnamed--ISEP.md      ← 被測試覆寫（它是被追蹤的）
+#     ?? pending-main-push/unnamed--A.md         ← 跨 repo 測試建的臨時 repo
+#
+#   兩個後果，後者比較貴：
+#     ① `git add -A` 很容易把它們帶進 commit（08-27 那次真的帶進去了，事後才拔掉）
+#     ② **永遠在響的警報**：總管的迴圈讀這個目錄，讀到的每一筆都該是真的在等他裁。
+#        測試每跑一次就偽造一筆 ⇒ 下一筆真的請求會混在雜訊裡。
+#
+# 做法：把整個 `hooks/` 複製到暫存區再跑那支複本。閘算 `pending-main-push` 的位置
+# 靠的是 `$0` 的上一層，所以複本會寫進暫存區，**產品程式碼一行都不用改**
+# （不必為了測試在閘上多開一個「寫去哪」的開關——那種開關會變成關掉紀錄的路）。
+#
+# 用法：
+#   . "$(dirname "$0")/lib/hook-sandbox.sh"
+#   hook_sandbox "$REAL_HOOK" || exit 1
+#   G=$HOOK_SANDBOX_HOOK               # 之後一律測 $G
+#   before=$(hook_sandbox_hostsum)     # repo 那份 pending-main-push 的指紋
+#   ... 跑測試 ...
+#   hook_sandbox_assert "$before"      # 回 0＝乾淨且沙盒裡真的有留下請求
+
+# hook_sandbox <真跡 hook 的路徑> → 建好沙盒，設三個變數，回 0／1
+#   HOOK_SANDBOX_HOOK  沙盒裡那支同名 hook（之後一律測這支）
+#   HOOK_SANDBOX       沙盒根（`pending-main-push` 會長在這底下）
+#   HOOK_SANDBOX_HOST  真跡 repo 的 pending-main-push（拿來比對有沒有被弄髒）
+#
+# 🔴 **刻意不用 `printf` 把路徑印出來讓呼叫端 `G=$(hook_sandbox …)` 接**——
+#   命令替換跑在子殼裡，函式設的那三個變數**回不到呼叫端**。
+#   寫這支的當下就這樣寫，第一次跑的結果是：`HOOK_SANDBOX` 在呼叫端是空的
+#   ⇒ hostsum 兩次都回 `NODIR`（相等）、沙盒的請求數當然是 0
+#   ⇒ **第一條斷言變成「拿空的比空的」的假綠**。
+#   所以改成「設變數、不印」，而且 hook_sandbox_assert 開頭會擋空值（見下）。
+hook_sandbox() {
+  _hs_real=$1
+  _hs_hooks=$(CDPATH= cd -- "$(dirname -- "$_hs_real")" && pwd) || return 1
+  HOOK_SANDBOX=$(mktemp -d) || return 1
+  cp -R "$_hs_hooks" "$HOOK_SANDBOX/hooks" || return 1
+  HOOK_SANDBOX_HOST="${_hs_hooks%/hooks}/pending-main-push"
+  HOOK_SANDBOX_HOOK="$HOOK_SANDBOX/hooks/$(basename "$_hs_real")"
+  [ -f "$HOOK_SANDBOX_HOOK" ] || return 1
+}
+
+# hook_sandbox_hostsum → 印出真跡 repo 那份 pending-main-push 的指紋（檔名＋內容）
+# 目錄不存在時印 NODIR——「本來就沒有」跟「空的」要分得出來。
+hook_sandbox_hostsum() {
+  if [ -d "${HOOK_SANDBOX_HOST:-/nonexistent}" ]; then
+    find "$HOOK_SANDBOX_HOST" -type f 2>/dev/null | LC_ALL=C sort | while IFS= read -r _f; do
+      cksum "$_f" 2>/dev/null || printf 'UNREADABLE %s\n' "$_f"
+    done
+  else
+    printf 'NODIR\n'
+  fi
+}
+
+# hook_sandbox_assert <before 的指紋> → 印出兩行結果，全過回 0
+# 🔴 兩件都要驗，只驗前者會養出「把紀錄關掉也算通過」的假綠：
+#   ① repo 那份 pending-main-push 一個位元都沒動（測試沒有偽造待裁決）
+#   ② 沙盒那份真的多了請求檔（**留請求這件事本身還在做**）
+hook_sandbox_assert() {
+  _hs_before=$1
+  # fail-closed：沙盒沒建起來（或變數沒傳到這裡）時，下面兩條會變成「空的比空的」＝假綠。
+  if [ -z "${HOOK_SANDBOX:-}" ] || [ -z "${HOOK_SANDBOX_HOST:-}" ]; then
+    printf '  ❌ %-58s\n' "沙盒變數是空的——這兩條斷言等於沒跑，當失敗處理"
+    HS_PASS=0; HS_FAIL=2; return 1
+  fi
+  _hs_after=$(hook_sandbox_hostsum)
+  _hs_rc=0; HS_PASS=0; HS_FAIL=0
+  if [ "$_hs_before" = "$_hs_after" ]; then
+    printf '  ✅ %-58s\n' "repo 的 pending-main-push 沒被測試碰過"; HS_PASS=$((HS_PASS+1))
+  else
+    printf '  ❌ %-58s\n' "repo 的 pending-main-push 被測試寫髒了"
+    printf '     before/after diff：\n'
+    printf '%s\n' "$_hs_before" > "$HOOK_SANDBOX/.before"
+    printf '%s\n' "$_hs_after" > "$HOOK_SANDBOX/.after"
+    diff "$HOOK_SANDBOX/.before" "$HOOK_SANDBOX/.after" | sed 's/^/     /'
+    _hs_rc=1; HS_FAIL=$((HS_FAIL+1))
+  fi
+  _hs_n=$(find "$HOOK_SANDBOX/pending-main-push" -type f 2>/dev/null | wc -l | tr -d ' ')
+  if [ "${_hs_n:-0}" -gt 0 ]; then
+    printf '  ✅ %-58s（%s 筆）\n' "請求有被留下來，只是留在沙盒裡" "$_hs_n"; HS_PASS=$((HS_PASS+1))
+  else
+    printf '  ❌ %-58s\n' "沙盒裡一筆請求都沒有——留請求的機制可能被關掉了"
+    _hs_rc=1; HS_FAIL=$((HS_FAIL+1))
+  fi
+  return $_hs_rc
+}
+
+hook_sandbox_cleanup() {
+  case "${HOOK_SANDBOX:-}" in
+    /*/*) rm -rf "$HOOK_SANDBOX" ;;   # 只刪 mktemp 給的那種深路徑，不接受空值/根目錄
+  esac
+}

hooks/tests/main-and-prod-push-guard-cross-repo.test.sh

@@ -9,10 +9,21 @@
 #   路徑務必給絕對路徑——測試會 cd 進臨時建立的 A／B repo 再呼叫它，相對路徑
 #   到那時就對不上了（自己撞過一次：exit=127 command not found）。
 set -u
-G="$1"
+REAL="$1"
+
+# 🔴 測沙盒裡的複本，不測真跡：這支閘擋下推 main 時會把請求寫進
+#   `<repo>/pending-main-push/`，而這裡每一條測資都是推 main
+#   ⇒ 直接測真跡，每跑一次就在 ISEP 的工作區偽造幾筆「還沒裁」
+#   （實測留下過 `pending-main-push/unnamed--A.md`——A 是這支自己建的臨時 repo，
+#   inkstone/ISEP#59 comment 4779 第 ① 條）。收尾會驗兩件（見 lib 檔頭）。
+. "$(CDPATH= cd -- "$(dirname -- "$0")" && pwd)/lib/hook-sandbox.sh"
+hook_sandbox "$REAL" || { echo "❌ 沙盒建不起來"; exit 1; }
+G=$HOOK_SANDBOX_HOOK
+HOSTSUM_BEFORE=$(hook_sandbox_hostsum)
+
 STAMP=/tmp/.main-push-ok
 WORK=$(mktemp -d)
-trap 'rm -rf "$WORK"; rm -f "$STAMP"' EXIT
+trap 'rm -rf "$WORK"; rm -f "$STAMP"; hook_sandbox_cleanup' EXIT
 
 for d in A B; do
   git init -q -b main "$WORK/$d"
@@ -101,5 +112,9 @@ touch -t "$(date -v-16M +%Y%m%d%H%M.%S 2>/dev/null || date -d '-16 minutes' +%Y%
 t "16 分鐘前開的戳記 → 已過期，推 B 應擋" "$A" "cd $B && git push origin HEAD:main" 2
 rm -f "$STAMP"
 
+echo "── 測試自己不准弄髒工作區（inkstone/ISEP#59）──"
+hook_sandbox_assert "$HOSTSUM_BEFORE"
+pass=$((pass+HS_PASS)); fail=$((fail+HS_FAIL))
+
 echo "────── 通過 $pass ／ 失敗 $fail"
 [ "$fail" = 0 ]

hooks/tests/main-and-prod-push-guard.test.sh

@@ -1,7 +1,17 @@
 #!/usr/bin/env bash
 # 八向實測 main-and-prod-push-guard.sh
 # 放在檔案裡跑，因為測試字串本身會觸發「舊版」那支閘（第五次誤攔）。
-G="$1"   # 要測的 hook 路徑
+REAL="$1"   # 要測的 hook 路徑（真跡）
+
+# 🔴 不要直接測真跡：這支閘擋下推 main 的同時會把請求寫進 `<repo>/pending-main-push/`，
+#   而這裡的測資全是推 main ⇒ 每跑一次就在工作區偽造幾筆「還沒裁」（inkstone/ISEP#59）。
+#   改測沙盒裡的複本，閘照原樣跑，請求寫進暫存區。收尾會驗兩件（見 lib 檔頭）。
+. "$(CDPATH= cd -- "$(dirname -- "$0")" && pwd)/lib/hook-sandbox.sh"
+hook_sandbox "$REAL" || { echo "❌ 沙盒建不起來"; exit 1; }
+G=$HOOK_SANDBOX_HOOK
+trap 'hook_sandbox_cleanup' EXIT
+HOSTSUM_BEFORE=$(hook_sandbox_hostsum)
+
 pass=0; fail=0
 
 t() {  # t <說明> <指令> <期望 exit>
@@ -25,5 +35,9 @@ t "直接推預設分支" 'git push origin ma'"in" 2
 t "HEAD:預設分支" 'git push origin HEAD:ma'"in" 2
 t "推 master" 'git push -q origin mas'"ter" 2
 
+echo "── 測試自己不准弄髒工作區（inkstone/ISEP#59）──"
+hook_sandbox_assert "$HOSTSUM_BEFORE"
+pass=$((pass+HS_PASS)); fail=$((fail+HS_FAIL))
+
 echo "────── 通過 $pass ／ 失敗 $fail"
 [ "$fail" = "0" ]

hooks/tests/mainline-idle-guard.test.sh

@@ -0,0 +1,187 @@
+#!/usr/bin/env bash
+# mainline-idle-guard.sh 的迴歸測試（inkstone/ISEP#30 → comment 4851）
+#
+# 兩個方向都要有證據：
+#   A 群「不該擋」——回答問題、輕量回合、任何一種推進證據、未達門檻、響過之後退讓
+#   B 群「該擋」  ——連續乾回合（有動作、零推進）踩到門檻
+#   C 群「訊息承諾的出路真的走得通」——擋完歸零、門檻加倍
+#
+# 用法：hooks/tests/mainline-idle-guard.test.sh [hooks/mainline-idle-guard.sh 的路徑]
+# 🔴 全程在乾淨的 TMP 底下造假 transcript 與假狀態檔，跑完自己清；
+#    不碰任何真 repo、不打網路、不寫 /tmp 的正式狀態檔（走 MAINLINE_IDLE_STATE_DIR）。
+set -u
+HOOK="${1:-$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)/mainline-idle-guard.sh}"
+TMP=$(mktemp -d)
+trap 'rm -rf "$TMP"' EXIT
+
+PASS=0; FAIL=0; N=0
+
+# append_turn <transcript> <block spec>...
+#   block spec：`T:<文字>` ＝ assistant 文字段；`U:<工具名>` ＝ tool_use；
+#               `B:<指令>` ＝ Bash tool_use（帶 command）
+append_turn() {
+  python3 - "$@" <<'PY'
+import json, sys
+path, specs = sys.argv[1], sys.argv[2:]
+blocks = []
+for s in specs:
+    k, v = s.split(":", 1)
+    if k == "T":
+        blocks.append({"type": "text", "text": v})
+    elif k == "B":
+        blocks.append({"type": "tool_use", "name": "Bash", "id": "t", "input": {"command": v}})
+    else:
+        blocks.append({"type": "tool_use", "name": v, "id": "t", "input": {}})
+with open(path, "a") as f:
+    f.write(json.dumps({"type": "user",
+                        "message": {"content": [{"type": "text", "text": "繼續"}]}},
+                       ensure_ascii=False) + "\n")
+    f.write(json.dumps({"type": "assistant", "message": {"content": blocks}},
+                       ensure_ascii=False) + "\n")
+PY
+}
+
+# fire <session> <transcript> <期望 exit> <說明> [extra-json]
+fire() {
+  sid="$1"; tr="$2"; want="$3"; desc="$4"; extra="${5:-}"
+  N=$((N+1))
+  payload=$(printf '{"session_id":"%s","transcript_path":"%s"%s}' "$sid" "$tr" "$extra")
+  out=$(printf '%s' "$payload" \
+        | CLAUDE_PROJECT_DIR="${PROJ_OVERRIDE:-$TMP}" \
+          MAINLINE_IDLE_STATE_DIR="$TMP" bash "$HOOK" 2>&1); rc=$?
+  if [ "$rc" -eq "$want" ]; then
+    printf '  ✅ %s\n' "$desc"; PASS=$((PASS+1))
+  else
+    printf '  ❌ %s —— 期望 exit=%s，實得 exit=%s\n' "$desc" "$want" "$rc"
+    printf '%s\n' "$out" | sed -n '1,6p' | sed 's/^/     /'
+    FAIL=$((FAIL+1))
+  fi
+}
+
+# 造一個新 session 的 transcript，並吃掉第一次的 baseline
+new_session() {
+  sid="$1"; tr="$TMP/$sid.jsonl"; : > "$tr"
+  append_turn "$tr" 'U:Read'
+  printf '{"session_id":"%s","transcript_path":"%s"}' "$sid" "$tr" \
+    | CLAUDE_PROJECT_DIR="${PROJ_OVERRIDE:-$TMP}" MAINLINE_IDLE_STATE_DIR="$TMP" \
+      bash "$HOOK" >/dev/null 2>&1
+  echo "$tr"
+}
+
+DRY=(U:Read U:Grep B:git\ status U:Read)   # 4 個動作、零推進 ＝ 乾回合
+
+echo "── A 群：不該擋 ────────────────────────────────────────────"
+
+tr=$(new_session s-light)
+fire s-light "$tr" 0 "① 第一次見到這個 session（立基準，不評分）"
+
+# 票上第 3 條驗收：回答一個不需要派工的問題 ⇒ 放行（且**不計數**）
+for i in 1 2 3 4 5; do
+  append_turn "$tr" 'U:Read' 'U:Grep' "T:查了一下，答案是 X。"
+  fire s-light "$tr" 0 "② 回答問題的輕量回合（2 個動作）第 $i 次——連 5 次都不該擋"
+done
+
+tr=$(new_session s-dispatch)
+for i in 1 2 3 4; do
+  append_turn "$tr" "${DRY[@]}" 'U:Agent'
+  fire s-dispatch "$tr" 0 "③ 有派工（Agent）第 $i 次 ⇒ 永遠歸零"
+done
+
+tr=$(new_session s-send)
+for i in 1 2 3 4; do
+  append_turn "$tr" "${DRY[@]}" 'U:SendMessage'
+  fire s-send "$tr" 0 "④ 驅動既有 agent（SendMessage）第 $i 次"
+done
+
+tr=$(new_session s-write)
+for i in 1 2 3 4; do
+  append_turn "$tr" "${DRY[@]}" 'U:Edit'
+  fire s-write "$tr" 0 "⑤ 有產出（Edit）第 $i 次"
+done
+
+tr=$(new_session s-ticket)
+for i in 1 2 3 4; do
+  append_turn "$tr" 'U:Read' 'U:Grep' 'B:scripts/ticket say inkstone/ISEP#30 -F /tmp/x.md'
+  fire s-ticket "$tr" 0 "⑥ 寫回票（scripts/ticket say）第 $i 次"
+done
+
+tr=$(new_session s-mcp)
+for i in 1 2 3 4; do
+  append_turn "$tr" "${DRY[@]}" 'U:mcp__x__kbdb_create_record'
+  fire s-mcp "$tr" 0 "⑦ 寫進外部系統（kbdb_create_record）第 $i 次"
+done
+
+tr=$(new_session s-under)
+for i in 1 2 3; do
+  append_turn "$tr" "${DRY[@]}"; fire s-under "$tr" 0 "⑧ 第 $i 個乾回合——未達門檻（4），不擋"
+done
+
+tr=$(new_session s-active)
+append_turn "$tr" "${DRY[@]}"
+fire s-active "$tr" 0 "⑩ stop_hook_active（已被別的 Stop 閘擋過）⇒ 不計數" ',"stop_hook_active":true'
+append_turn "$tr" "${DRY[@]}"
+fire s-active "$tr" 0 "⑪ 同上，第 2 次仍不擋（不會被別的閘的擋下推著累積）" ',"stop_hook_active":true'
+
+tr=$(new_session s-dup)
+append_turn "$tr" "${DRY[@]}"
+fire s-dup "$tr" 0 "⑫ 同一個回合被叫兩次（transcript 沒長）——第 1 次"
+fire s-dup "$tr" 0 "⑬ 同上第 2 次：不重複計數"
+fire s-dup "$tr" 0 "⑭ 同上第 3 次：仍不擋（重複呼叫不該累積成擋下）"
+
+fire s-bad "$TMP/does-not-exist.jsonl" 0 "⑮ 讀不到 transcript ⇒ 放行（不亂擋）"
+
+echo "── B 群：該擋 ──────────────────────────────────────────────"
+
+tr=$(new_session s-idle)
+for i in 1 2 3; do
+  append_turn "$tr" "${DRY[@]}"; fire s-idle "$tr" 0 "⑯ 乾回合 $i／4"
+done
+append_turn "$tr" "${DRY[@]}"; fire s-idle "$tr" 2 "⑰ 乾回合 4／4 ⇒ **擋下**"
+
+tr=$(new_session s-idle2)
+for i in 1 2 3; do
+  append_turn "$tr" 'U:Read' 'U:Read' 'U:Read'; fire s-idle2 "$tr" 0 "⑱ 純唯讀乾回合 $i／4"
+done
+append_turn "$tr" 'U:Bash' 'U:Bash' 'U:Read'; fire s-idle2 "$tr" 2 "⑲ 唯讀 Bash 也算乾回合 ⇒ **擋下**"
+
+echo "── C 群：響過就退讓（訊息裡承諾的出路真的存在）───────────────"
+
+# 接續 s-idle：它剛在 ⑰ 被擋過 ⇒ 計數歸零、門檻 4→8
+tr="$TMP/s-idle.jsonl"
+for i in 1 2 3 4 5 6 7; do
+  append_turn "$tr" "${DRY[@]}"
+  fire s-idle "$tr" 0 "⑳ 擋過之後第 $i 個乾回合——門檻已加倍（4→8），不該再響"
+done
+append_turn "$tr" "${DRY[@]}"
+fire s-idle "$tr" 2 "㉑ 第 8 個乾回合 ⇒ 再擋一次（門檻 8）"
+
+# 量測用的旋鈕要真的有效（檔頭那份實測靠它重跑）
+export MAINLINE_IDLE_THRESHOLD=2
+tr=$(new_session s-th)
+append_turn "$tr" "${DRY[@]}"; fire s-th "$tr" 0 "㉒ MAINLINE_IDLE_THRESHOLD=2：第 1 個乾回合"
+append_turn "$tr" "${DRY[@]}"; fire s-th "$tr" 2 "㉓ 同上第 2 個 ⇒ 擋（證明門檻可被量測腳本改）"
+unset MAINLINE_IDLE_THRESHOLD
+
+echo "── D 群：工作區狀態變了就算推進（heredoc／sed 改檔吃得到）──────"
+
+REPO="$TMP/repo"; mkdir -p "$REPO"
+git -C "$REPO" init -q 2>/dev/null
+git -C "$REPO" config user.email t@t; git -C "$REPO" config user.name t
+echo a > "$REPO/a.txt"; git -C "$REPO" add -A; git -C "$REPO" commit -qm init
+PROJ_OVERRIDE="$REPO"
+tr=$(new_session s-git)
+for i in 1 2 3; do
+  append_turn "$tr" "${DRY[@]}"; fire s-git "$tr" 0 "㉔ 乾回合 $i／4（工作區沒動）"
+done
+# 用 heredoc／sed 改檔——工具名是 Bash、指令不在白名單，只有狀態指紋看得出來
+echo "changed by heredoc" >> "$REPO/a.txt"
+append_turn "$tr" "${DRY[@]}"; fire s-git "$tr" 0 "㉕ 第 4 個乾回合，但工作區變了 ⇒ 算推進，不擋"
+for i in 1 2 3; do
+  append_turn "$tr" "${DRY[@]}"; fire s-git "$tr" 0 "㉖ 之後乾回合 $i／4（證明上一格真的歸零過）"
+done
+append_turn "$tr" "${DRY[@]}"; fire s-git "$tr" 2 "㉗ 乾回合 4／4 ⇒ **擋下**"
+PROJ_OVERRIDE=""
+
+echo
+printf '結果：%s 通過 / %s 失敗（共 %s 條）\n' "$PASS" "$FAIL" "$N"
+[ "$FAIL" -eq 0 ] || exit 1

hooks/tests/prod-write-guard.test.sh

@@ -68,6 +68,42 @@ t block "heredoc 之後的真指令（剝內文不能連指令一起剝）" \
 EOF
 $ACR_U --force"
 
+# ══ inkstone/ISEP#63 → comment 5106：兩個卡點 ═══════════════════════════
+#
+# 卡點一：發一則 Telegram 給 leo（`notify_leo`）跟「部署一個工作流上線」在本閘眼裡
+#         長得一模一樣——兩者都是帶 body 的寫入型請求打到同一台實例。
+#         判準改成看**打的是哪一個 named webhook**（路徑形狀＋名字），
+#         而放行的範圍只有一個名字，家族其他成員照擋。
+# 卡點二：連「把這個卡點寫進票裡」都被同一支閘擋（同款第八次）——
+#         內文引用了主機名與寫入旗標，而閘比對的是指令文字。
+EXE="https://arcrun-cypher-executor.leo21c.wo""rkers.dev"
+NAMED="$EXE/webhooks/named"
+
+echo "── 卡點一：通知放得過，家族其他成員照擋 ──"
+t pass "發一則 Telegram 給 leo（notify_leo trigger）" \
+  "curl -s -X POST $NAMED/leo/notify_leo/trigger $DASH_D '{\"text\":\"[總管] 進度\"}'"
+t pass "同上，網址後面帶斜線" \
+  "curl -s -X POST $NAMED/leo/notify_leo/trigger/ --data '{\"text\":\"[總管] x\"}'"
+t block "別的 named webhook（會動線上狀態）不在白名單裡" \
+  "curl -X POST $NAMED/leo/ship_refresh_cdn/trigger $DASH_D '{}'"
+t block "部署端點（沒有名字、沒有 /trigger）" \
+  "curl -X POST $NAMED $DASH_D @workflow.json"
+t block "通知混著一筆真的寫入 ⇒ 整條照擋（白名單要每一個都符合）" \
+  "curl -X POST $NAMED/leo/notify_leo/trigger $DASH_D '{}' && curl -X POST $EXE/entries $DASH_D '{}'"
+t block "名字只是前綴相同（notify_leo_deploy）不算通知" \
+  "curl -X POST $NAMED/leo/notify_leo_deploy/trigger $DASH_D '{}'"
+
+echo "── 卡點二：談論它（內文引用）不是執行它 ──"
+t pass "把卡點貼回票上，內文引用了實例網址與寫入旗標（本次實撞）" \
+  "B=\$(cat <<'EOF'
+閘擋下來了：\`curl -X POST $NAMED\` 被當成部署。
+EOF
+); curl -X POST https://git.uncle6.me/api/v1/repos/inkstone/ISEP/issues/63/comments $DASH_D \"\$B\""
+t block "真的在部署、只是把 payload 放進內文 ⇒ 起始行仍看得到，照擋" \
+  "curl -X POST $NAMED $DASH_D @- <<'EOF'
+{\"name\":\"x\"}
+EOF"
+
 echo
 echo "結果：通過 $PASS ／ 失敗 $FAIL"
 [ $FAIL -eq 0 ] || exit 1

hooks/tests/reply-identity.test.sh

@@ -0,0 +1,99 @@
+#!/usr/bin/env bash
+# 身份欄的兩道閘（inkstone/ISEP#30 comment 4325：「subagent 回覆時要表明身份」）。
+#
+# 貼留言到票上有**兩條路**，所以測兩道閘：
+#   正門  scripts/ticket say / decide  —— 檢查在打任何 API 之前，所以本測試離線跑得動
+#   側門  直接打 Gitea API             —— hooks/reply-identity-guard.sh
+#
+# **離線、不打網路。** 正門的案例全部在 `die()` 之前就結束，不會真的送出留言。
+#
+# 用法：hooks/tests/reply-identity.test.sh
+
+set -u
+HERE="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
+ROOT="$(cd "$HERE/../.." && pwd)"
+HOOK="$ROOT/hooks/reply-identity-guard.sh"
+TICKET="$ROOT/scripts/ticket"
+TMP=$(mktemp -d); trap 'rm -rf "$TMP"' EXIT
+
+PASS=0; FAIL=0; N=0
+
+ok()  { printf '  ✅ %s\n' "$1"; PASS=$((PASS+1)); N=$((N+1)); }
+bad() { printf '  ❌ %s\n' "$1"; shift; printf '%s\n' "$*" | sed -n '1,6p' | sed 's/^/     /'
+        FAIL=$((FAIL+1)); N=$((N+1)); }
+
+# ── 側門：hooks/reply-identity-guard.sh ─────────────────────────────────
+h() {  # h <期望 exit> <說明> <command 字串>
+  want="$1"; desc="$2"; cmd="$3"
+  body=$(python3 - "$cmd" <<'PY'
+import json, sys
+print(json.dumps({"tool_name": "Bash", "tool_input": {"command": sys.argv[1]}},
+                 ensure_ascii=False))
+PY
+)
+  err=$(printf '%s' "$body" | bash "$HOOK" 2>&1 >/dev/null); rc=$?
+  if [ "$rc" -eq "$want" ]; then ok "$desc"; else
+    bad "$desc —— 期望 exit=$want，實得 exit=$rc" "$err"; fi
+}
+
+echo "── 側門（直接打 Gitea API）─────────────────────────────────────"
+
+h 2 "① POST 留言但沒有【身份】→ 擋" \
+  'curl -X POST -H "Authorization: token $T" -d @body.json https://git.uncle6.me/api/v1/repos/inkstone/ISEP/issues/30/comments'
+
+h 0 "② POST 留言且內文帶【身份】→ 放行" \
+  'curl -X POST -d "{\"body\":\"【身份】subagent／inkstone/ISEP／feat/x\n做完了\"}" https://git.uncle6.me/api/v1/repos/inkstone/ISEP/issues/30/comments'
+
+h 0 "③ 純讀取（GET 撈留言）→ 放行，這是最常做的動作，誤攔它比漏擋更糟" \
+  'curl -s -H "Authorization: token $T" https://git.uncle6.me/api/v1/repos/inkstone/ISEP/issues/30/comments?limit=60'
+
+h 0 "④ 走正門 scripts/ticket → 放行（正門有自己的閘，兩支同時擋會互相打架）" \
+  'scripts/ticket say inkstone/ISEP#30 -F /tmp/body.md'
+
+h 0 "⑤ 開新票的端點（不帶票號）→ 不是本閘的地盤" \
+  'curl -X POST -d @t.json https://git.uncle6.me/api/v1/repos/inkstone/ISEP/issues'
+
+h 0 "⑥ 逃生口 reply-identity-ok → 放行（留在指令歷史上）" \
+  'curl -X POST -d @body.json https://git.uncle6.me/api/v1/repos/inkstone/ISEP/issues/30/comments  # reply-identity-ok'
+
+h 0 "⑦ 只是在講這件事（把端點寫進文件）而沒有 POST → 不擋" \
+  'echo "留言端點是 issues/30/comments" >> docs/notes.md'
+
+echo
+echo "── 正門（scripts/ticket）───────────────────────────────────────"
+
+g() {  # g <期望 exit> <說明> <內文>
+  want="$1"; desc="$2"; content="$3"
+  printf '%s' "$content" > "$TMP/body.md"
+  err=$(python3 "$TICKET" say inkstone/ISEP#30 -F "$TMP/body.md" 2>&1 >/dev/null); rc=$?
+  if [ "$rc" -eq "$want" ]; then ok "$desc"; else
+    bad "$desc —— 期望 exit=$want，實得 exit=$rc" "$err"; fi
+}
+
+g 2 "⑧ 內文沒有身份欄 → 在打 API 之前就擋（所以這一格離線也測得動）" \
+  '做完了，分支是 feat/x'
+
+g 2 "⑨ 有【身份】但角色不在三選一之內 → 擋" \
+  '【身份】機器人／inkstone/ISEP／feat/x
+
+做完了'
+
+g 2 "⑩ 身份欄不在第一行 → 擋（要一眼看得到，不是藏在中間）" \
+  '做完了
+【身份】subagent／inkstone/ISEP／feat/x'
+
+# ⑪ 合規的內文要能通過身份檢查——它會往下走到打 API，
+#    離線環境打不出去所以 exit 非 0；判準改成「錯誤訊息不是身份欄那一段」。
+printf '%s' '【身份】subagent／inkstone/ISEP／feat/x
+
+做完了' > "$TMP/ok.md"
+err=$(python3 "$TICKET" say inkstone/ISEP#30 -F "$TMP/ok.md" 2>&1 >/dev/null || true)
+if printf '%s' "$err" | grep -q '第一行要表明身份'; then
+  bad "⑪ 合規的內文被身份閘擋掉了（誤攔）" "$err"
+else
+  ok "⑪ 合規的內文通過身份閘（之後成不成功是網路的事，不是本閘的事）"
+fi
+
+echo
+echo "══ $PASS/$N 通過${FAIL:+，$FAIL 個失敗} ══"
+[ "$FAIL" -eq 0 ]

hooks/tests/search-is-not-proof-guard.test.sh

@@ -0,0 +1,254 @@
+#!/usr/bin/env bash
+# search-is-not-proof-guard.sh ＋ kbdb-evidence-stamp.sh 的迴歸測試
+# （inkstone/ISEP#30 → comment 4879）
+#
+# **離線、不打網路、不碰真庫、每次結果一樣。** 兩支都是純結構判斷，沒有語意判官。
+#
+# 🔴 這支測試的重點在 A 群，不在 B 群。
+#    ISEP 的第一級缺陷是**誤攔**——leo 2026-08-17 實證：在文字層封路的閘
+#    8 次誤攔、0 次正確攔截。所以「該擋有擋到」只是及格，
+#    **「不該擋的一個都沒擋」才是這支閘能不能活下來的條件。**
+#
+# 用法：hooks/tests/search-is-not-proof-guard.test.sh [guard 路徑] [stamp 路徑]
+
+set -u
+HERE="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
+HOOKS="$(cd "$HERE/.." && pwd)"
+GUARD="${1:-$HOOKS/search-is-not-proof-guard.sh}"
+STAMP="${2:-$HOOKS/kbdb-evidence-stamp.sh}"
+
+SID="S-SINP-TEST"
+SEARCH="/tmp/.kbdb-evidence-search-$SID"
+WALKED="/tmp/.kbdb-evidence-walked-$SID"
+WARNED="/tmp/.search-is-not-proof-warned-$SID"
+TMPD="$(mktemp -d)"
+trap 'rm -rf "$TMPD"; rm -f "$SEARCH" "$WALKED" "$WARNED"' EXIT
+
+PASS=0; FAIL=0; N=0
+
+# 真跡：Arcrun#167 comment 4865 裡真的被貼出去的那兩個值
+REAL_ID="e_b77f23a1-b467-4aa4-883c-58a051ab8e66"
+REAL_SRC="kb://小果被AFTEE詐貸.pdf#8"
+
+clean() { rm -f "$SEARCH" "$WALKED" "$WARNED"; }
+
+# seen <search|walked> <值...>  —— 直接寫登記檔（模擬 stamp 已經跑過）
+seen() {
+  f="/tmp/.kbdb-evidence-$1-$SID"; shift
+  for v in "$@"; do printf '%s\n' "$v" >> "$f"; done
+}
+
+# bash_payload <command>
+bash_payload() {
+  python3 - "$SID" "$1" <<'PY'
+import json, sys
+print(json.dumps({"session_id": sys.argv[1], "hook_event_name": "PreToolUse",
+                  "tool_name": "Bash", "tool_input": {"command": sys.argv[2]}},
+                 ensure_ascii=False))
+PY
+}
+
+# agent_payload <prompt>
+agent_payload() {
+  python3 - "$SID" "$1" <<'PY'
+import json, sys
+print(json.dumps({"session_id": sys.argv[1], "hook_event_name": "PreToolUse",
+                  "tool_name": "Agent", "tool_input": {"prompt": sys.argv[2]}},
+                 ensure_ascii=False))
+PY
+}
+
+# post_payload <tool_name> <tool_response JSON 字串> [有沒有 tool_response 欄位:yes|no]
+post_payload() {
+  python3 - "$SID" "$1" "$2" "${3:-yes}" <<'PY'
+import json, sys
+sid, tool, resp, has = sys.argv[1:5]
+d = {"session_id": sid, "hook_event_name": "PostToolUse",
+     "tool_name": tool, "tool_input": {}}
+if has == "yes":
+    d["tool_response"] = json.loads(resp)
+print(json.dumps(d, ensure_ascii=False))
+PY
+}
+
+t() {
+  want="$1"; desc="$2"; body="$3"; hook="${4:-$GUARD}"
+  N=$((N+1))
+  err=$(printf '%s' "$body" | bash "$hook" 2>&1 >/dev/null); rc=$?
+  if [ "$rc" -eq "$want" ]; then
+    printf '  ✅ %s\n' "$desc"; PASS=$((PASS+1))
+  else
+    printf '  ❌ %s —— 期望 exit=%s，實得 exit=%s\n' "$desc" "$want" "$rc"
+    printf '%s\n' "$err" | sed -n '1,6p' | sed 's/^/     /'
+    FAIL=$((FAIL+1))
+  fi
+}
+
+echo "── A 群：🔴 不該擋（誤攔是這個 repo 的第一級缺陷）────────────────"
+
+clean
+t 0 "① 這個 session 從沒用過 kbdb_search → 完全沒有立場說話" \
+  "$(bash_payload "scripts/ticket say inkstone/Arcrun#167 -F /tmp/x.md")"
+
+clean; seen search "$REAL_ID" "$REAL_SRC"
+t 0 "② 搜過，但只是自己看——沒有任何往外送的動作（git status）" \
+  "$(bash_payload "git status --short")"
+
+clean; seen search "$REAL_ID" "$REAL_SRC"
+printf '總管：這一輪的三張票都關了，版本 1.4.59 已上 stage。\n' > "$TMPD/plain.md"
+t 0 "③ 搜過，也貼了票，但**沒有引用任何搜尋出來的值**（最常見的正常情況）" \
+  "$(bash_payload "scripts/ticket say inkstone/ISEP#30 -F $TMPD/plain.md")"
+
+clean; seen search "$REAL_ID"; seen walked "$REAL_ID"
+printf '總管：這筆我用 kbdb_get_record 拉過了，id 是 %s\n' "$REAL_ID" > "$TMPD/walked.md"
+t 0 "④ 搜完**又走了真路徑**才引用 → 這是對的做法，不准罰" \
+  "$(bash_payload "scripts/ticket say inkstone/Arcrun#167 -F $TMPD/walked.md")"
+
+clean; seen search "$REAL_ID"
+t 0 "⑤ 逃生口：指令裡寫了 search-is-evidence: 的理由" \
+  "$(bash_payload "scripts/ticket say inkstone/Arcrun#167 --body '$REAL_ID' search-is-evidence: 只是引用一筆資料的編號")"
+
+clean; seen search "$REAL_ID"
+t 0 "⑥ 讀那支閘的原始碼（值只是出現在指令裡，不是往外送）" \
+  "$(bash_payload "cat hooks/search-is-not-proof-guard.sh | grep $REAL_ID")"
+
+clean; seen search "$REAL_ID"
+t 0 "⑦ 撈票／搜票這些讀取動作，不是往外送" \
+  "$(bash_payload "curl -s -H 'Authorization: token X' 'https://git.uncle6.me/api/v1/repos/inkstone/Arcrun/issues/167'")"
+
+clean; seen search "$REAL_SRC"
+t 0 "⑧ 只在 wiki 裡查東西、然後改自己 repo 的檔（Write 不歸這支管）" \
+  "$(bash_payload "sed -i '' 's/a/b/' system-dev/wiki/status.md")"
+
+clean; seen search "$REAL_ID"
+printf '【工單】inkstone/ISEP#30\n' > "$TMPD/dispatch-ok.md"
+t 0 "⑨ 合規派工單（只有票號，沒有引用搜尋值）" \
+  "$(agent_payload "$(cat "$TMPD/dispatch-ok.md")")"
+
+clean; seen search "$REAL_ID"
+t 2 "⑩ 第一次命中 → 擋（這一發是下一條的前置）" \
+  "$(bash_payload "scripts/ticket say inkstone/Arcrun#167 --body '$REAL_ID'")"
+t 0 "⑩' 同一 session 第二次同樣的動作 → 放行，不鬼打牆" \
+  "$(bash_payload "scripts/ticket say inkstone/Arcrun#167 --body '$REAL_ID'")"
+
+echo "── B 群：該擋（真跡重演）──────────────────────────────────────"
+
+clean; seen search "$REAL_ID" "$REAL_SRC"
+cat > "$TMPD/4865.md" <<EOF
+# 🔴【總管複驗・退回】兩個缺陷都還在——我用 MCP 實打的
+
+\`\`\`
+\$ kbdb_search(q="小果 AFTEE 詐貸")   → count 5
+\`\`\`
+
+\`\`\`json
+{
+  "id": "$REAL_ID",
+  "content": "### 出處\n- \`../小果被AFTEE詐貸.pdf\` >> 提及 >> 小果被AFTEE詐貸"
+}
+\`\`\`
+
+"metadata_json": "{\"source\":\"$REAL_SRC\",\"library\":\"youlinhsieh-test1\"}"
+EOF
+t 2 "⑪ 真跡重演：Arcrun#167 comment 4865 那則退回，原文照貼" \
+  "$(bash_payload "scripts/ticket say inkstone/Arcrun#167 -F $TMPD/4865.md")"
+
+clean; seen search "$REAL_ID"
+t 2 "⑫ 同一件事走派工單（重派一條線）" \
+  "$(agent_payload "【工單】inkstone/Arcrun#167
+上一版沒修好，實測 $REAL_ID 那塊的出處還是 ../ 開頭")"
+
+clean; seen search "$REAL_SRC"
+t 2 "⑬ 只貼了 kb:// 來源位址（沒貼 id）也認得出來" \
+  "$(bash_payload "scripts/ticket close inkstone/Arcrun#167 --deliverable '$REAL_SRC'")"
+
+clean; seen search "$REAL_ID"
+t 2 "⑭ 直接打 Gitea API 貼留言（繞開 scripts/ticket）" \
+  "$(bash_payload "curl -X POST -d '{\"body\":\"$REAL_ID 還是壞的\"}' 'https://git.uncle6.me/api/v1/repos/inkstone/Arcrun/issues/167/comments'")"
+
+clean; seen search "$REAL_ID"; seen walked "e_00000000-0000-0000-0000-000000000000"
+t 2 "⑮ 走過真路徑，但走的是**別筆**資料 → 這一筆仍然只有搜尋當來源" \
+  "$(bash_payload "scripts/ticket say inkstone/Arcrun#167 --body '$REAL_ID'")"
+
+echo "── C 群：訊息本身講不講得出出路 ──────────────────────────────"
+
+clean; seen search "$REAL_ID"
+MSG=$(printf '%s' "$(bash_payload "scripts/ticket say inkstone/Arcrun#167 --body '$REAL_ID'")" | bash "$GUARD" 2>&1 >/dev/null)
+for want in "D81" "kbdb_graph_neighbors" "search-is-evidence:" "4877" "同一條嗎"; do
+  N=$((N+1))
+  if printf '%s' "$MSG" | grep -q -- "$want"; then
+    printf '  ✅ 訊息裡有「%s」\n' "$want"; PASS=$((PASS+1))
+  else
+    printf '  ❌ 訊息裡找不到「%s」\n' "$want"; FAIL=$((FAIL+1))
+  fi
+done
+N=$((N+1))
+if printf '%s' "$MSG" | grep -q '`kbdb_get_record`'; then
+  printf '  ✅ 反引號沒有被 shell 吃掉（heredoc 有跳脫）\n'; PASS=$((PASS+1))
+else
+  printf '  ❌ 反引號被 shell 展開了\n'; FAIL=$((FAIL+1))
+fi
+
+echo "── D 群：登記處（stamp）──────────────────────────────────────"
+
+clean
+RESP=$(python3 -c "
+import json
+print(json.dumps({'ok':True,'data':{'entries':[{'id':'$REAL_ID','metadata_json':'{\"source\":\"$REAL_SRC\"}'}]}}, ensure_ascii=False))
+")
+t 0 "⑯ kbdb_search 的回應 → 登記進 search 檔" \
+  "$(post_payload "mcp__abc__kbdb_search" "$RESP")" "$STAMP"
+N=$((N+1))
+if grep -q "$REAL_ID" "$SEARCH" 2>/dev/null && grep -q "$REAL_SRC" "$SEARCH" 2>/dev/null; then
+  printf '  ✅ 兩類指紋（entry id ＋ kb:// 位址）都抓到了\n'; PASS=$((PASS+1))
+else
+  printf '  ❌ 指紋沒抓到：%s\n' "$(cat "$SEARCH" 2>/dev/null)"; FAIL=$((FAIL+1))
+fi
+
+clean
+# 🔴 MCP 的回應**不保證**是拆好的物件——常見的是包成 content blocks，
+#    整份 JSON 縮成一個字串塞在 text 裡（連引號都被跳脫過）。
+#    stamp 對兩種包裝都要認得，否則它在真的環境裡會靜默失效。
+INNER=$(python3 -c "
+import json
+print(json.dumps({'ok':True,'data':{'entries':[{'id':'$REAL_ID','metadata_json':'{\"source\":\"$REAL_SRC\"}'}]}}, ensure_ascii=False))
+")
+WRAPPED=$(python3 -c "
+import json,sys
+print(json.dumps({'content':[{'type':'text','text':sys.argv[1]}]}, ensure_ascii=False))
+" "$INNER")
+t 0 "⑯' 同一份回應包成 MCP content blocks（字串裡的 JSON）→ 一樣認得出來" \
+  "$(post_payload "mcp__abc__kbdb_search" "$WRAPPED")" "$STAMP"
+N=$((N+1))
+if grep -q "$REAL_ID" "$SEARCH" 2>/dev/null && grep -q "$REAL_SRC" "$SEARCH" 2>/dev/null; then
+  printf '  ✅ content blocks 包裝下兩類指紋都抓到了\n'; PASS=$((PASS+1))
+else
+  printf '  ❌ 被包裝擋住了：%s\n' "$(cat "$SEARCH" 2>/dev/null)"; FAIL=$((FAIL+1))
+fi
+
+clean
+t 0 "⑰ kbdb_get_record 的回應 → 登記進 walked 檔" \
+  "$(post_payload "mcp__abc__kbdb_get_record" "$RESP")" "$STAMP"
+N=$((N+1))
+if grep -q "$REAL_ID" "$WALKED" 2>/dev/null && [ ! -s "$SEARCH" ]; then
+  printf '  ✅ 走過真路徑的記在 walked，沒有污染 search\n'; PASS=$((PASS+1))
+else
+  printf '  ❌ 記錯檔了\n'; FAIL=$((FAIL+1))
+fi
+
+clean
+t 0 "⑱ 不是 kbdb 的工具 → 什麼都不做" \
+  "$(post_payload "Bash" "$RESP")" "$STAMP"
+
+clean
+t 0 "⑲ 搜尋 0 筆（回應讀得到但沒有指紋）→ 正常，不出聲" \
+  "$(post_payload "mcp__abc__kbdb_search" '{"ok":true,"data":{"entries":[],"count":0}}')" "$STAMP"
+
+clean
+t 2 "⑳ fail-closed：payload 裡沒有 tool_response 欄位 → 出聲說自己失效了" \
+  "$(post_payload "mcp__abc__kbdb_search" "$RESP" "no")" "$STAMP"
+
+clean
+echo
+printf '共 %d 條：✅ %d  ❌ %d\n' "$N" "$PASS" "$FAIL"
+[ "$FAIL" -eq 0 ] || exit 1

hooks/ticket-api-bypass-guard.sh

@@ -1,26 +1,45 @@
 #!/bin/bash
-# 管什麼: 用 Gitea API 直接開新票時，要求這一輪有跑過跨 repo 的搜尋（/tmp/.ticket-where-ok，30 分鐘內）。
+# 管什麼: 用 Gitea API 直接「新增」東西時（開新票／開新 milestone／開新 label／開新 PR），
-# 為什麼: scripts/ticket 早就強制先搜，但那道閘只擋走正門的人。2026-08-20 總管走 API 側門開了 12 張票，每一張都跟舊票重疊。
+#        要求這一輪有跑過搜尋（/tmp/.ticket-where-ok，30 分鐘內）。
-# 誤觸時怎麼關: 跑 `scripts/ticket where <關鍵字>` 先搜（之後 30 分鐘 API 也放行），或在指令裡加 `ticket-api-ok` 留痕放行。
+# 為什麼: scripts/ticket 早就強制先搜，但那道閘只擋走正門的人；而擋側門的第一版只認
-# ticket-api-bypass-guard.sh — 開票的「側門」也要經過同一道搜尋閘
+#        大寫裸字 POST，2026-08-27 總管用 `requests.post(...)`／隱式 POST 的 urllib
+#        繞了過去，同一天又用 API 直接開了 milestone/label/PR（這版都沒管）。
+# 誤觸時怎麼關: 跑 `scripts/ticket where <關鍵字>` 先搜（之後 30 分鐘所有寫入端點都放行），
+#        或在指令裡加 `ticket-api-ok` 留痕放行。
+# ticket-api-bypass-guard.sh — 新增 Gitea 東西的每一道側門，都要經過同一道搜尋閘
 #
-# 來由（leo 2026-08-20 當場問「如何防止」）：
+# 來由（leo 2026-08-20 當場問「如何防止」；2026-08-27 leo 把範圍講寬：
+#   「不只開票前⋯⋯所有新增 gitea 的東西，都要搜尋」）：
 #   `scripts/ticket new` 早就強制「開票前先搜」（/tmp/.ticket-where-ok 戳記，30 分鐘失效）。
-#   但總管當天開了 12 張與舊票重疊的新票——因為他**沒用那支工具，直接打 Gitea API**。
+#   但 2026-08-20 總管開了 12 張與舊票重疊的新票——沒用那支工具，直接打 API。
-#   ⇒ 規範有、閘也有，但閘長在「工具」上，而那個動作有兩條路，只封了一條。
+#   2026-08-27 總管又開了 13 張，這次連當時的 v1 guard 都繞過了：
-#   leo：「你在讓事情複雜化」／「每張票開以前都要搜尋現有票，你為什麼會開了不搜？」
+#     v1 判準只認一個裸字 `grep -qw POST`（leo 2026-08-17 定的哲學：封動作不封文字，
+#     一個裸字夠了），但那天實際指令是 `req = urllib.request.Request(url, data=...)`
+#     （靠傳 data= 隱式變成 POST，指令裡從頭到尾沒有 "POST" 三個字母），或
+#     `requests.post(...)`（小寫 post，`grep -qw POST` 大小寫敏感照樣漏）。
+#   ⇒ 這不是「該封文字改封動作」的問題（v1 本來就在封動作：打了寫入端點），
+#     是「認動作的方式」本身漏了 HTTP 語意裡的隱式 POST。本版把「寫入訊號」從
+#     單一裸字，換成「curl 的資料類旗標／`.post(`／`method=post`／urllib 隱式 POST」
+#     這組結構性訊號——訊號種類有限、可枚舉，跟關鍵字黑名單不是同一件事。
 #
-# 這支封的是**動作**：任何 Bash 指令只要在對 Gitea 的 issues 端點做寫入，
+# 這支封的是**動作**：任何 Bash 指令只要在對 Gitea 的「集合端點」
+# （issues／milestones／labels／pulls，不帶 ID＝新增；帶 ID＝改既有的，放行）做寫入，
 # 就要有一個新鮮的搜尋戳記。它不強迫你用 scripts/ticket，只強迫你搜過。
 #   （同 InkStoneCo#36：「守 prod 的閘，包一層腳本就繞過去了——它看的是指令長相」。
-#     本支同樣只看得到指令文字，這是 PreToolUse 這層的天花板；
+#     本支同樣只看得到指令文字，這是 PreToolUse 這層的天花板。）
-#     所以判準取「端點 ＋ 寫入動詞」兩個都命中才擋，讓純讀取一律放行。）
 #
-# 放行（刻意，這些都不是「開票」）：
+# 放行（刻意，這些都不是「新增」）：
 #   - 只讀不寫（GET）：撈清單、看票、對帳
-#   - 對既有票的留言／改標籤／關票（/issues/<N>/... 這種帶票號的子路徑）
+#   - 對既有票號的子路徑（/issues/<N>/... ／/milestones/<N> ／/labels/<N> ／/pulls/<N>...）：
-#   - scripts/ticket 自己（它有自己的閘，重複擋只會互相打架）
+#     留言、改標籤、關票、改狀態、合併 PR——leo 要的是「不要亂開新的」，不是「不准動 Gitea」
+#   - scripts/ticket 自己（它有自己的三道閘，重複擋只會互相打架）
 #   - 指令裡出現 ticket-api-ok（逃生口，會留在指令歷史上）
+#
+# 只對「issues」做主動搜尋＋在擋下的訊息裡直接點名可能撞到的舊票（milestones/labels/pulls
+# 沒有對應的跨 repo 全文搜尋端點可用，一律只要求「搜尋戳記新鮮」，不生產額外訊息——
+# 這是刻意的簡化，不是漏做；真要幫 milestone/label/PR 做語意重複檢查是另一張票的事）。
+# 搜尋本身連不上網路 → 不影響擋／放行的判斷，只影響訊息裡有沒有列出候選舊票（fail-open
+# 在「錦上添花」的部分，不 fail-open 在「該不該擋」這個核心判斷上）。
 set -uo pipefail
 
 INPUT=$(cat)
@@ -34,18 +53,54 @@ except Exception: print('')
 # 逃生口（留痕）
 case "$CMD" in *ticket-api-ok*) exit 0 ;; esac
 # scripts/ticket 有自己的閘
-case "$CMD" in *scripts/ticket*|*"ticket where"*|*"ticket new"*|*"ticket say"*) exit 0 ;; esac
+case "$CMD" in *scripts/ticket*|*"ticket where"*|*"ticket new"*|*"ticket say"*|*"ticket close"*|*"ticket decide"*) exit 0 ;; esac
 
-# ① 有沒有打到 Gitea 的 issues 端點（不帶票號的那個＝建立新票的路徑）
+# ① 先放行「帶了 ID 的子路徑」——issues/<N>、milestones/<N>、labels/<N>、
-printf '%s' "$CMD" | grep -qE 'repos/[^ "'"'"']*/issues([?"'"'"'`,)\\[:space:]]|$)' || exit 0
+#    pulls/<N>（後面不管接留言／labels／合併都算），這些是在動既有的東西，
+#    不是新增。獨立判斷、排在最前面，不要留給下面那條「集合端點」regex 用
+#    貪婪比對去猜——第一版把 owner/repo 寫成「允許斜線的萬用字元」時，
+#    `/repos/{REPO}/issues/5/labels`（既有票 #5 底下的 labels，不該擋）會被
+#    貪婪比對成「owner/repo 吃掉 {REPO}/issues/5，資源名是 labels」，跟真正
+#    的頂層 /labels 端點混在一起——先用「resource/數字」這個特徵擋在前面，
+#    後面那條就不必再猜。
+printf '%s' "$CMD" | grep -qE '(issues|milestones|labels|pulls)/[0-9]+' && exit 0
 
-# ② 指令裡有沒有 POST 這個詞（純 GET 一律放行）
+# ② 有沒有打到 Gitea 的「集合端點」（不帶 ID 的那個＝新增的路徑）
-#    刻意只認一個裸字：跳脫引號、heredoc、python、curl、各種包裝的寫法無限多，
+#    repos/<owner>/<repo>/<resource> 或 orgs/<org>/<resource>，資源名後面立刻是
-#    逐個補 pattern 追不完（leo 2026-08-17：「自然語言的變體是無限的，blacklist 永遠追不完」）。
+#    「不是路徑字元」的東西（問號／引號／逗號／右括號／空白／結尾）。
-#    ①已經確定這是「開票那條端點」，純讀取的指令不會出現 POST ⇒ 一個字就夠，而且沒有跳脫的破口。
+#    中間那段刻意只排除空白（不必排引號）：①已經先擋掉「帶 ID」的形狀，這裡
-printf '%s' "$CMD" | grep -qw 'POST' || exit 0
+#    只要认出「打到了這個資源的集合端點」就好，多抓一點字元進中間那段不影響
+#    判斷——這也是為什麼 f-string 占位符 `f"{API}/repos/{REPO}/issues"`
+#    （owner/repo 被壓成一個不含斜線的 token）跟真實網址 `repos/inkstone/ISEP/issues`
+#    （owner/repo 是兩段）都吃得下，不必為了兩種形狀各寫一條 pattern。
+ENDPOINT_RE='(repos|orgs)/[^[:space:]]+/(issues|milestones|labels|pulls)([^A-Za-z0-9_/]|$)'
+printf '%s' "$CMD" | grep -qE "$ENDPOINT_RE" || exit 0
 
-# ③ 要有新鮮的搜尋戳記（與 scripts/ticket 共用同一個，30 分鐘）
+RESOURCE=$(printf '%s' "$CMD" | grep -oE '/(issues|milestones|labels|pulls)([^A-Za-z0-9_/]|$)' | head -1 | grep -oE 'issues|milestones|labels|pulls')
+
+# ③ 有沒有寫入訊號（純 GET 一律放行）。刻意取「結構性訊號」而非單一裸字：
+#    - curl：顯式 -X/--request POST，或帶了資料類旗標（curl 帶 -d/--data* 時，
+#      沒寫 -X 也會自動變 POST——這正是舊版漏掉的其中一種隱式 POST）
+#    - requests 系函式庫：`.post(`（大小寫都收）
+#    - 任何函式庫的 `method=` 參數值是 post（大小寫都收）
+#    - urllib.request：`Request(`／`urlopen(` 與 `data=` 同時出現（不要求同一行——
+#      多行 heredoc 裡兩者常常不在同一行）＝隱式 POST，這是 2026-08-27 實際撞到的那種寫法
+WRITE_SIGNAL=no
+if printf '%s' "$CMD" | grep -qiw 'POST'; then
+  # 保留 v1 的裸字比對，但**大小寫不敏感**——v1 只認大寫 POST，
+  # 2026-08-27 `requests.post(...)` 小寫照樣繞過，這裡補上不分大小寫的字。
+  WRITE_SIGNAL=yes
+elif printf '%s' "$CMD" | grep -qiE -- '-X[[:space:]]*POST|--request[[:space:]=]*POST|--data(-raw|-binary|-urlencode)?([[:space:]=]|$)|--json([[:space:]=]|$)|\.post\(|method[[:space:]]*=[[:space:]]*.{0,2}post'; then
+  WRITE_SIGNAL=yes
+elif printf '%s' "$CMD" | grep -qE 'urllib\.request\.(Request|urlopen)\(' \
+  && printf '%s' "$CMD" | grep -qE '\bdata[[:space:]]*='; then
+  # 隱式 POST：urllib.request 傳了 data= 卻沒寫明 method——這是 2026-08-27
+  # 實際撞到的寫法，指令裡從頭到尾沒有 "POST" 三個字母，上面兩層都攔不到。
+  WRITE_SIGNAL=yes
+fi
+[ "$WRITE_SIGNAL" = yes ] || exit 0
+
+# ④ 要有新鮮的搜尋戳記（與 scripts/ticket 共用同一個，30 分鐘）
 STAMP=/tmp/.ticket-where-ok
 NOW=$(date +%s)
 FRESH=no
@@ -55,30 +110,108 @@ if [ -f "$STAMP" ]; then
 fi
 [ "$FRESH" = "yes" ] && exit 0
 
-cat >&2 <<'MSG'
+# 只有 issues 才做「主動幫你搜一次」——從指令裡的 title 欄位猜關鍵字，
-🚫 你正在用 Gitea API 直接開新票，而這一輪沒有搜尋紀錄
+# 真的搜得到就把候選舊票直接列進擋下的訊息裡（重演 2026-08-27 的 Arcrun#100）。
+# 任何一步失敗（拿不到 token、連不上網、payload 裡沒有 title）都安靜放棄，
+# 不影響「擋下來」這個判斷本身。
+HITS=""
+if [ "$RESOURCE" = "issues" ]; then
+  REMOTES=$(git -C "${CLAUDE_PROJECT_DIR:-.}" remote -v 2>/dev/null || true)
+  CRED_LINE=$(printf '%s' "$REMOTES" | grep -m1 'git\.uncle6\.me' | grep -m1 '@' || true)
+  if [ -n "$CRED_LINE" ]; then
+    TOKEN=$(printf '%s' "$CRED_LINE" | sed -E 's|.*//[^:]+:([^@]+)@.*|\1|')
+    # 只認雙引號的 "title": "..."（curl -d／json.dumps 輸出的實際格式，也是
+    # 2026-08-27 那 13 張票真實用的寫法，見 scripts/test-ticket-api-bypass-guard.sh
+    # 既有的模擬指令）。刻意不支援單引號版本——這段 python 要塞進 bash 單引號
+    # 參數字串（`python3 -c '...'`），bash 的單引號字串裡放不進一個字面單引號
+    # （沒有跳脫機制），另外分岔一段處理單引號只會逼自己走回「兩層語言的引號
+    # 疊在一起」那個坑。找不到 title 就安靜放棄——不影響「擋下來」這個判斷本身，
+    # 只是訊息裡少列候選舊票。
+    HITS=$(printf '%s' "$CMD" | _TICKET_TOKEN="$TOKEN" python3 -c '
+import os, re, sys, json, urllib.request, urllib.parse
 
-leo 2026-08-16：「**寫開票前先去搜尋要開在哪裡，不然你永遠會亂開新票**」
+cmd = sys.stdin.read()
-leo 2026-08-20：「**每張票開以前都要搜尋現有票，你為什麼會開了不搜？這個規範不是早就有 hook 了？**」
+pat = "\"title\"\\s*:\\s*\"((?:\\\\.|[^\"\\\\])*)\""
+m = re.search(pat, cmd)
+if not m:
+    sys.exit(0)
+title = m.group(1)
+title = title.replace("\\n", " ").replace("\\\"", "\"")
 
-規範有，閘也有——但那道閘長在 `scripts/ticket` 這支工具裡，
+toks = []
-而你走的是 API 這條側門。**本閘就是把那道門也封上。**
+for t in re.findall(r"[A-Za-z0-9]+|[一-鿿]{2,}", title):
+    if t not in toks:
+        toks.append(t)
+toks = toks[:3]
+if not toks:
+    sys.exit(0)
 
-實錯（2026-08-20 同日）：總管用 API 開了 12 張票，事後盤點**每一張都跟舊票重疊**，
+token = os.environ.get("_TICKET_TOKEN", "")
-全部只能關掉指回舊票。leo：「**你在讓事情複雜化**」。
+seen = {}
+for kw in toks:
+    q = urllib.parse.urlencode({"q": kw, "state": "open", "type": "issues", "limit": 20})
+    url = "https://git.uncle6.me/api/v1/repos/issues/search?" + q
+    try:
+        req = urllib.request.Request(url, headers={"Authorization": "token " + token})
+        data = json.load(urllib.request.urlopen(req, timeout=6))
+    except Exception:
+        continue
+    for it in (data or []):
+        ref = it["repository"]["full_name"] + "#" + str(it["number"])
+        row = seen.setdefault(ref, {"score": 0, "title": it["title"]})
+        row["score"] = row["score"] + 1
+
+hits = sorted(seen.items(), key=lambda kv: -kv[1]["score"])[:6]
+if not hits:
+    sys.exit(0)
+joined = " ".join(toks)
+print("（用猜出來的關鍵字「" + joined + "」順手搜了一次，命中：）")
+for ref, info in hits:
+    score = info["score"]
+    t2 = info["title"][:56]
+    print("  [" + str(score) + "] " + ref + "  " + t2)
+' 2>/dev/null || true)
+  fi
+fi
+
+case "$RESOURCE" in
+  issues)      VERB="開新票" ;;
+  milestones)  VERB="開新 milestone" ;;
+  labels)      VERB="開新 label" ;;
+  pulls)       VERB="開新 PR" ;;
+  *)           VERB="新增東西" ;;
+esac
+
+{
+cat <<MSG
+🚫 你正在用 Gitea API 直接${VERB}，而這一輪沒有搜尋紀錄
+
+leo 2026-08-16：「寫開票前先去搜尋要開在哪裡，不然你永遠會亂開新票」
+leo 2026-08-27：「開票不查是否有現成的，這是什麼問題？」「不只開票前，
+                 所有新增 gitea 的東西，都要搜尋」
+
+規範有，閘也有——但上一版只認裸字 POST，你這次用的寫法（隱式 POST／小寫
+requests.post／milestone·label·PR 端點）沒被管到。**本閘把這些側門也封上。**
+MSG
+if [ -n "$HITS" ]; then
+  printf '\n%s\n' "$HITS"
+fi
+cat <<'MSG'
 
 ── 怎麼過（擇一）───────────────────────────────
-  1. 先搜（預設，戳記 30 分鐘有效，之後 API 也放行）：
+  1. 先搜（預設，戳記 30 分鐘有效，之後所有寫入端點都放行）：
          scripts/ticket where <關鍵字...>
-     🔴 搜到了就**貼進那張票**，不要開新的：
+     🔴 搜到同一條線就貼進那張票，不要開新的：
          scripts/ticket say <owner/repo#N> -F <內文檔>
 
-  2. 真的是新的一條線 → 直接用那支工具開，它會幫你把該檢查的檢查完：
+  2. 開票真的是新的一條線 → 直接用那支工具開，它會幫你把該檢查的檢查完：
          scripts/ticket new <repo> -F <內文檔> --title <標題>
 
-  3. 這次確實不是在開新票（例如批次改標籤／關票／留言）
+  3. 這次確實不是在新增（例如批次改標籤／關票／留言／改 milestone 狀態）
      → 指令裡加 `ticket-api-ok` 說明理由，留痕放行。
 
-放行的情況（本閘不管）：純讀取（GET）、對既有票 /issues/<N>/ 的留言與標籤、scripts/ticket 自己。
+放行的情況（本閘不管）：純讀取（GET）、對既有票號的留言與標籤與關票、
+scripts/ticket 自己。
 MSG
+} >&2
 exit 2

pending-main-push/README.md

@@ -0,0 +1,16 @@
+# `pending-main-push/` — 被擋下的推 main 請求（本機狀態，不進版控）
+
+`hooks/main-and-prod-push-guard.sh` 擋下一次推 main 的同時，會把那次請求寫成
+`<誰>--<哪個 repo>.md` 丟進這個目錄：repo／分支／逐筆 commit／改了哪些檔，**原始資料**。
+
+> leo 2026-08-12：「**它會問你的意見，所以每個你叫起來的 subagent 都有名字。**」
+> 閘做不到「同步問總管」（不同行程），做得到的是「**當場擋 ＋ 留下是誰要求的**」。
+
+## 規約
+
+- **一份檔案 ＝ 一筆還沒裁的請求。** 總管裁完就刪掉它——留著代表還沒裁。
+- **這個目錄的內容不進版控**（`.gitignore` 有一段寫了為什麼），只有本檔在版控裡。
+- **測試不准在這裡留東西。** 推 main 的測資本來就都會觸發這支閘，
+  所以那幾支測試改成跑 `hooks/tests/lib/hook-sandbox.sh` 建的複本，請求寫進暫存區；
+  每支測完都會驗兩件：這裡沒被碰過、而且沙盒裡**真的有**留下請求
+  （只驗前者的話，「把留紀錄的功能關掉」也會綠——那是假綠）。

pending-main-push/unnamed--ISEP.md

@@ -1,43 +0,0 @@
-# 推 main 的請求：未署名
-
-- repo：/Users/youlinhsieh/Documents/tech_projects/ISEP
-- 分支：fix/push-guard-target-not-substring
-- 時間：2026-08-21 01:28:51
-
-- 它想跑的指令：
-```
-git push -q origin master
-```
-
-## 還沒推上去的 commit（原始資料，不是轉述）
-
-```
-43c328d Merge pull request 'feat/milestone-must-have-due' (#50) from feat/milestone-must-have-due into main
-bcb736e Merge pull request 'fix/worksheet-dedup-by-content' (#49) from fix/worksheet-dedup-by-content into main
-6772ca6 每個里程碑都要有真的期限，9999 也擋
-1b55512 待驗工作單改用宣稱內容去重，驗過的不再冒出來
-1920d4c Merge pull request '身為 leo，我要雲端 clone 下來就有閘，我才不用先處理憑證' (#48) from fix/b4-real-probe into main
-47ed778 改走「直接複製進薄殼 repo」，並修掉一支會偷跑指令的閘
-03d9782 查了官方文件才發現：setup script 根本讀不到環境變數，而 exit 1 會鎖死 session
-36d8e05 認證驗證加 timeout：掛住比失敗更糟
-1356372 B4 的探針我自己沒撞過，實撞後發現它根本不會擋
-d306158 Merge pull request '身為 leo，我要雲端 env 檔能直接產在桌面，我才不用去翻隱藏目錄' (#46) from feat/cloud-env-outdir into main
-9099c3f make-cloud-env.sh：輸出路徑可指定，且不再對使用者指定的目錄動權限
-5bceb03 v0.3.1
-4e73b8b Merge pull request '身為 leo，我要雲端驗收步驟在閘死掉時真的變紅，我才不會再被三個綠燈騙一次' (#45) from fix/testing-b-section-discriminating into main
-291787e TESTING.md B 段整段換掉——舊版在閘全滅時會回綠
-3a95121 雲端零閘的兩個真因：setup 不自驗＋沒有 release 撐版本號 (#44)
-daa1674 雲端零閘的兩個真因：setup 從不驗證自己＋沒有任何 release 撐版本號
-c48495d Merge pull request 'fix(hooks): sdd-guard.sh 修「解析失敗仍照擋、且訊息洩漏 /nonexistent」' (#42) from fix/sdd-guard-path-resolution into main
-8718658 fix(hooks): sdd-guard.sh 修「解析失敗仍照擋、且訊息洩漏 /nonexistent」（InkStoneCo#22）
-e6d183d Merge pull request '產生雲端 env 設定給 leo 貼（InkStoneCo#14）' (#41) from feat/cloud-env-generator into main
-f855d82 產生雲端 env 設定，不要 leo 自己拼湊（InkStoneCo#14）
-```
-
-## 改了哪些檔
-
-```
-```
-
----
-總管裁完請刪掉這個檔——留著代表「還沒裁」。

pending-main-push/unnamed--InkStoneCo.md

@@ -1,23 +0,0 @@
-# 推 main 的請求：未署名
-
-- repo：/Users/youlinhsieh/Documents/tech_projects/InkStoneCo
-- 分支：main
-- 時間：2026-08-21 01:28:23
-
-- 它想跑的指令：
-```
-git push -q origin master
-```
-
-## 還沒推上去的 commit（原始資料，不是轉述）
-
-```
-```
-
-## 改了哪些檔
-
-```
-```
-
----
-總管裁完請刪掉這個檔——留著代表「還沒裁」。

scripts/countdown-milestone-refresh.sh

@@ -0,0 +1,69 @@
+#!/usr/bin/env bash
+# countdown-milestone-refresh.sh — 把「主線 milestone 的期限」寫進倒數用的快取
+#                                  （inkstone/ISEP#63 的第二個基準）
+#
+# 為什麼是一支獨立腳本、而不是寫在 hook 裡：
+#   倒數那一行走在 **UserPromptSubmit** 上，也就是每一則訊息的關鍵路徑。
+#   在那裡打 HTTP ＝ leo 每講一句話都先等一次網路。
+#   ⇒ hook 只讀快取（`hooks/lib/countdown.py` 從不打網路），
+#     快取由本支在 **SessionStart** 更新一次。不是輪詢、不掛排程（守 D14 紅線）。
+#
+# 寫出來的檔：`$ISEP_COUNTDOWN_STATE_DIR/milestone-due`，一行 `YYYY-MM-DD|<名稱>`。
+# 拿不到 token／拿不到期限 ⇒ **不寫、不報錯、不留舊資料以外的東西**：
+#   倒數那一行寧可少一段，也不要顯示一個編出來的日期。
+set -uo pipefail
+
+HOST="${TICKET_HOST:-https://git.uncle6.me}"
+TOKEN="${GITEA_TOKEN_CLAUDE_CODE:-${GITEA_TOKEN:-}}"
+REPOS="${ISEP_COUNTDOWN_REPOS:-inkstone/InkStoneCo inkstone/ISEP}"
+
+DIR="${ISEP_COUNTDOWN_STATE_DIR:-$HOME/.claude/isep-countdown}"
+mkdir -p "$DIR" 2>/dev/null || exit 0
+OUT="$DIR/milestone-due"
+
+[ -n "$TOKEN" ] || exit 0
+
+RAW=""
+for repo in $REPOS; do
+  body=$(curl -s --max-time 4 -H "Authorization: token $TOKEN" \
+          "$HOST/api/v1/repos/$repo/milestones?state=open" 2>/dev/null) || continue
+  RAW="$RAW$body"$'\n'
+done
+
+printf '%s' "$RAW" | ISEP_OUT="$OUT" python3 -c '
+import json, os, sys
+from datetime import datetime, timezone
+
+best = None
+for chunk in sys.stdin.read().split("\n"):
+    chunk = chunk.strip()
+    if not chunk:
+        continue
+    try:
+        rows = json.loads(chunk)
+    except Exception:
+        continue
+    if not isinstance(rows, list):
+        continue
+    for m in rows:
+        due = (m or {}).get("due_on") or ""
+        if not due:
+            continue                      # 沒設期限的 milestone 不是節拍器
+        try:
+            dt = datetime.fromisoformat(due.replace("Z", "+00:00"))
+        except Exception:
+            continue
+        if dt.tzinfo is None:
+            dt = dt.replace(tzinfo=timezone.utc)
+        # 最近的那一個＝現在真的在追的那一個
+        if best is None or dt < best[0]:
+            best = (dt, (m or {}).get("title") or "主線")
+
+if best is None:
+    raise SystemExit(0)
+dt, title = best
+with open(os.environ["ISEP_OUT"], "w") as f:
+    f.write("%s|%s\n" % (dt.astimezone().strftime("%Y-%m-%d"), title))
+' 2>/dev/null || true
+
+exit 0

scripts/test-main-and-prod-push-guard.sh

@@ -4,7 +4,19 @@
 # 開頭包一層讀取指令）都不准擋；推自己的分支、含子字串但目標不是 main/master
 # 的分支（如 fix/custom-domain-setup）也不准擋。
 cd "$(dirname "$0")/.." || exit 1
-H=hooks/main-and-prod-push-guard.sh
+
+# 🔴 測沙盒裡的複本，不測真跡（inkstone/ISEP#59 comment 4779 第 ① 條）：
+#   這支閘擋下推 main 的同時會把請求寫進 `<repo>/pending-main-push/`，那份檔案的
+#   語意是「有一筆推 main 正在等總管裁」。這裡的測資本來就都是推 main
+#   ⇒ 直接測真跡的話，**每跑一次測試就偽造一筆待裁決**（實測：`unnamed--ISEP.md`
+#   每跑一次被覆寫一次，而它當時還是被追蹤的 ⇒ `git status` 永遠是髒的）。
+#   cwd 仍然留在 repo 根——戳記比對問的是「人站在哪個 repo」，那件事沒有變。
+. hooks/tests/lib/hook-sandbox.sh
+hook_sandbox "$PWD/hooks/main-and-prod-push-guard.sh" || { echo "❌ 沙盒建不起來"; exit 1; }
+trap 'hook_sandbox_cleanup' EXIT
+HOSTSUM_BEFORE=$(hook_sandbox_hostsum)
+H=$HOOK_SANDBOX_HOOK
+
 PASS=0; FAIL=0
 run(){ # $1=want $2=cmd
   printf '%s' "{\"tool_name\":\"Bash\",\"tool_input\":{\"command\":$(python3 -c 'import json,sys;print(json.dumps(sys.argv[1]))' "$2")}}" \
@@ -31,6 +43,10 @@ run 0 'grep -n "git push" hooks/main-and-prod-push-guard.sh'
 echo "── 真違規不能因為這次改動而漏擋：戳記過期／戳記綁錯 repo 一樣要擋 ──"
 run 2 'git push gitea HEAD:main'  # 沒有任何戳記檔時
 
+echo "── 測試自己不准弄髒工作區（inkstone/ISEP#59）──"
+hook_sandbox_assert "$HOSTSUM_BEFORE"
+PASS=$((PASS+HS_PASS)); FAIL=$((FAIL+HS_FAIL))
+
 echo
 echo "$PASS/$((PASS+FAIL)) 通過"
 [ "$FAIL" -eq 0 ]

scripts/test-ticket-api-bypass-guard.sh

@@ -1,6 +1,8 @@
 #!/bin/bash
 # 開票側門閘的測試（docs/TESTING.md A4）
-# 判準：4 種該擋、8 種不該擋、1 種有戳記時放行 = 13 條
+# 判準：4 種該擋、8 種不該擋、1 種有戳記時放行 = 13 條（v1，仍須全過，不能為了
+# 新案例把舊的改壞）＋ inkstone/ISEP#72 擴大範圍後新增的案例（隱式/小寫 POST、
+# milestone／label／PR、org 端點、Arcrun#100 重演）。
 cd "$(dirname "$0")/.." || exit 1
 H=hooks/ticket-api-bypass-guard.sh
 PASS=0; FAIL=0
@@ -33,8 +35,53 @@ run 0 'curl -s "$API/repos/inkstone/Arcrun/issues?state=open&limit=100"'
 echo "── 有新鮮戳記時放行 ──"
 python3 -c "import json,time;json.dump({'at':time.time(),'n':0,'top':[]},open('/tmp/.ticket-where-ok','w'))"
 run 0 'curl -X POST https://git.uncle6.me/api/v1/repos/inkstone/ISEP/issues'
-
 rm -f /tmp/.ticket-where-ok
+
+echo
+echo "── ISEP#72：2026-08-27 實際撞到的繞法（v1 grep -qw POST 漏掉的），該擋 ──"
+run 2 'url = "https://git.uncle6.me/api/v1/repos/inkstone/ISEP/issues"; req = urllib.request.Request(url, data=json.dumps(payload).encode(), headers=h); urllib.request.urlopen(req)'
+run 2 'python3 -c "requests.post(f\"{API}/repos/{REPO}/issues\", json={\"title\":\"x\"})"'
+
+echo
+echo "── ISEP#72：範圍擴大到 milestone／label／PR，該擋 ──"
+run 2 'curl -X POST https://git.uncle6.me/api/v1/repos/inkstone/ISEP/milestones -d @m.json'
+run 2 'curl -X POST https://git.uncle6.me/api/v1/repos/inkstone/ISEP/labels -d @l.json'
+run 2 'curl -X POST https://git.uncle6.me/api/v1/repos/inkstone/ISEP/pulls -d @p.json'
+run 2 'curl -X POST https://git.uncle6.me/api/v1/orgs/inkstone/labels -d @l.json'
+
+echo
+echo "── ISEP#72：帶 ID 的 milestone／label／PR 子路徑，不該擋（改狀態／合併，不是新增）──"
+run 0 'curl -X PATCH https://git.uncle6.me/api/v1/repos/inkstone/ISEP/milestones/3 -d @m.json'
+run 0 'curl -X PATCH https://git.uncle6.me/api/v1/repos/inkstone/ISEP/labels/9 -d @l.json'
+run 0 'curl -X POST https://git.uncle6.me/api/v1/repos/inkstone/ISEP/pulls/12/merge'
+
+echo
+echo "── ISEP#72：有戳記時，milestone／label／PR 也放行（不是只有 issues）──"
+python3 -c "import json,time;json.dump({'at':time.time(),'n':0,'top':[]},open('/tmp/.ticket-where-ok','w'))"
+run 0 'curl -X POST https://git.uncle6.me/api/v1/repos/inkstone/ISEP/milestones -d @m.json'
+rm -f /tmp/.ticket-where-ok
+
+echo
+echo "── ISEP#72：Arcrun#100 重演——標題撞同主題舊票，擋下來還要點名 ──"
+echo "   （這條打真實 Gitea 網路；離線環境會印 SKIP，不算失敗。標題故意用"
+echo "   裸引號的 python dict 寫法，跟 2026-08-27 那 13 張票實際的寫法一致——"
+echo "   curl -d 那種「JSON 被跳脫成字串塞進另一層引號」的寫法，本閘的猜題功能"
+echo "   刻意不支援，見 hook 檔頭「只認雙引號」那段註解，訊息裡不會列候選舊票，"
+echo "   但擋下來這件事不受影響，另有獨立案例覆蓋。）"
+if git remote -v 2>/dev/null | grep 'git\.uncle6\.me' | grep -q '@'; then
+  OUT=$(printf '%s' "{\"tool_name\":\"Bash\",\"tool_input\":{\"command\":$(python3 -c 'import json,sys;print(json.dumps(sys.argv[1]))' 'req("POST", f"{API}/repos/{REPO}/issues", {"title":"總圖說我一條關聯都沒有，三元組 graph 全部消失"})')}}" \
+    | bash "$H" 2>&1 >/dev/null)
+  RC=$?
+  if [ "$RC" = 2 ] && printf '%s' "$OUT" | grep -q 'Arcrun#100'; then
+    PASS=$((PASS+1)); echo "  ✅ 擋下來（rc=2）且點名 Arcrun#100"
+  else
+    FAIL=$((FAIL+1)); echo "  ❌ rc=$RC，訊息裡有沒有 Arcrun#100："; printf '%s\n' "$OUT" | grep -q 'Arcrun#100' && echo "有" || echo "沒有"
+    printf '%s\n' "$OUT"
+  fi
+else
+  echo "  ⏭️  SKIP（這台機器的 git remote 沒帶 git.uncle6.me 的憑證，連不上就不算數）"
+fi
+
 [ -n "$SAVED" ] && printf '%s' "$SAVED" > /tmp/.ticket-where-ok
 echo
 echo "$PASS/$((PASS+FAIL)) 通過"

scripts/test-ticket-where-seen-guard.sh

@@ -0,0 +1,116 @@
+#!/bin/bash
+# 「戳記要證明看過，不是跑過」的測試（inkstone/ISEP#72 → comment 4873）
+#
+# 這支測的是 scripts/ticket 的閘一之二：搜尋跑了，但輸出被丟進 /dev/null 時，
+# `ticket new` 要擋下來，並把那份被丟掉的候選清單交到眼前。
+#
+# 怎麼在「不真的開票」的前提下分辨擋／放行：
+#   TICKET_HOST 指到一個連不上的位址（127.0.0.1:9）
+#     離開碼 2 ＝ 閘擋下（die）
+#     離開碼 1 ＝ 閘全部放行，走到網路那一層才炸（Connection refused）
+# 全程離線、不打真實 Gitea、不產生任何票。
+cd "$(dirname "$0")/.." || exit 1
+T=scripts/ticket
+STAMP=/tmp/.ticket-where-ok
+TMP=$(mktemp -d)
+trap 'rm -rf "$TMP"' EXIT
+PASS=0; FAIL=0
+
+SAVED=""; [ -f "$STAMP" ] && SAVED=$(cat "$STAMP")
+rm -f "$STAMP"
+
+cat > "$TMP/body.md" <<'MD'
+## 目標
+測試用內文。
+
+## 驗收條件
+離開碼 2 ＝ 被擋；離開碼 1 ＝ 放行（走到網路才炸）。
+
+## deliverable 類型
+code
+MD
+TITLE="身為要開票的人，我要先看過命中的舊票，我才不會又開一張一樣的"
+
+# stamp <n> <shown|none> <age_sec>
+stamp() {
+  python3 - "$1" "$2" "$3" <<'PY'
+import json, sys, time
+n, shown, age = int(sys.argv[1]), sys.argv[2], float(sys.argv[3])
+st = {"at": time.time() - age, "kws": ["ingest", "queue"], "n": n,
+      "top": ["inkstone/arcrun-rag#104"],
+      "top_detail": [{"ref": "inkstone/arcrun-rag#104", "score": 2,
+                      "title": "它把我整個 repo 的一萬多個檔案排進佇列",
+                      "labels": ["Human"],
+                      "excerpt": "這些庫都早就萃好了，所以它要辨識這個庫已經有 wiki"}]}
+if shown != "none":
+    st["shown"] = (shown == "true")
+json.dump(st, open("/tmp/.ticket-where-ok", "w"))
+PY
+}
+
+# run <want_rc> <說明> [額外參數...]
+run() {
+  want=$1; what=$2; shift 2
+  out=$(TICKET_HOST=http://127.0.0.1:9 GITEA_TOKEN=x \
+        python3 "$T" new ISEP -F "$TMP/body.md" --title "$TITLE" "$@" 2>&1)
+  got=$?
+  LAST_OUT="$out"
+  if [ "$got" = "$want" ]; then PASS=$((PASS+1)); printf '  ✅ '; else FAIL=$((FAIL+1)); printf '  ❌ '; fi
+  printf 'want=%s got=%s  %s\n' "$want" "$got" "$what"
+}
+
+has() { # has <字串> <說明>
+  if printf '%s' "$LAST_OUT" | grep -q "$1"; then PASS=$((PASS+1)); printf '  ✅ '
+  else FAIL=$((FAIL+1)); printf '  ❌ '; fi
+  printf '訊息裡有「%s」  %s\n' "$1" "$2"
+}
+
+echo "── 該擋 ──"
+rm -f "$STAMP"
+run 2 "完全沒搜過（既有閘一，回歸）"
+stamp 3 true 3600
+run 2 "戳記過期（既有閘一，回歸）"
+stamp 72 false 10
+run 2 "★ 今天的重演：where 的輸出被丟進 /dev/null，命中 72 張一眼沒看"
+has "沒有到任何人眼前" "擋下的理由講的是「沒看」不是「沒搜」"
+has "arcrun-rag#104" "擋下的訊息把被丟掉的候選清單交到眼前"
+has "這些庫都早就萃好了" "連內文摘要都給了（光看標題看不出是同一條線）"
+stamp 72 false 10
+run 2 "★ 閉著眼睛先寫好理由也繞不過（--not-a-comment 在前面就被擋）" --not-a-comment "這是新的一條線"
+stamp 72 none 10
+run 2 "舊格式戳記（沒有 shown 欄位）→ fail-closed，當成沒看過" --not-a-comment "x"
+stamp 72 true 10
+run 2 "命中卻沒給理由（既有閘二，回歸）"
+
+echo
+echo "── 不該擋（誤攔比漏擋更該修）──"
+stamp 72 true 10
+run 1 "看過了、也給了理由 → 放行（走到網路才炸）" --not-a-comment "這是新的一條線"
+stamp 0 false 10
+run 1 "沒有命中任何票 → 沒東西可看，不要吵"
+stamp 0 none 10
+run 1 "沒命中 ＋ 舊格式戳記 → 一樣不吵"
+
+echo
+echo "── 擋完之後：那一次的擋本身就是「把清單交到眼前」 ──"
+stamp 72 false 10
+run 2 "第一次：被擋" --not-a-comment "這是新的一條線"
+run 1 "第二次下一模一樣的指令 → 放行（不必多打任何字）" --not-a-comment "這是新的一條線"
+
+echo
+echo "── fd_is_devnull：判準是 fstat 問出來的事實，不是猜文字 ──"
+u() { # u <want> <說明> <shell 片段>
+  got=$(eval "$3")
+  if [ "$got" = "$2" ]; then PASS=$((PASS+1)); printf '  ✅ '; else FAIL=$((FAIL+1)); printf '  ❌ '; fi
+  printf 'want=%s got=%s  %s\n' "$2" "$got" "$1"
+}
+PROBE="import importlib.util as u,sys; from importlib.machinery import SourceFileLoader as L; s=u.spec_from_loader('t',L('t','scripts/ticket')); m=u.module_from_spec(s); s.loader.exec_module(m); print(m.fd_is_devnull(1), file=sys.stderr)"
+u "stdout 丟進 /dev/null → True" "True" "python3 -c \"\$PROBE\" >/dev/null 2>&1; python3 -c \"\$PROBE\" 2>&1 >/dev/null"
+u "stdout 接到 pipe（Claude Code 就是這種）→ False" "False" "python3 -c \"\$PROBE\" 2>&1 | cat"
+u "stdout 寫進一般檔案（讀得回來）→ False" "False" "python3 -c \"\$PROBE\" 2>&1 >\"$TMP/o.txt\""
+
+rm -f "$STAMP"
+[ -n "$SAVED" ] && printf '%s' "$SAVED" > "$STAMP"
+echo
+echo "通過 $PASS 條，失敗 $FAIL 條"
+[ "$FAIL" = 0 ] || exit 1

scripts/ticket

@@ -29,6 +29,7 @@ leo 2026-08-16 三句話，本工具就是它們的機械化：
 import json
 import os
 import re
+import stat
 import subprocess
 import sys
 import time
@@ -36,7 +37,44 @@ import urllib.error
 import urllib.parse
 import urllib.request
 
-HOST = "https://git.uncle6.me"
+# ── 身份欄：與 hooks/lib/dispatch_parse.py 共用同一份定義 ──────────────────
+#   leo 2026-08-27：「**subagent 回覆時要表明身份**」
+#   實害（同日）：多條線並行，票上的留言看不出是誰寫的，
+#   **總管寫的診斷被當成 subagent 的結論，而其中一則是錯的**。
+#   規約與側門閘見 docs/governance/dispatch-and-reply-format.md §3。
+sys.path.insert(0, os.path.join(os.path.dirname(os.path.abspath(__file__)), "..", "hooks", "lib"))
+try:
+    from dispatch_parse import parse_identity, IDENTITY_ROLES
+except Exception:      # 拿不到共用零件就不擋（fail-open）——開票的路不該被一個 import 卡死
+    parse_identity, IDENTITY_ROLES = None, ("總管", "subagent", "leo")
+
+
+def check_identity(body, what):
+    """貼進票的內文第一行要表明身份。**在打任何 API 之前就擋**，所以離線測得動。"""
+    if parse_identity is None:
+        return
+    ok, detail = parse_identity(body)
+    if ok:
+        return
+    die(f"""🚫 {what}的第一行要表明身份（leo 2026-08-27：「**subagent 回覆時要表明身份**」）
+
+  現在的問題：{detail}
+
+第一行照這個寫（角色三選一：{'／'.join(IDENTITY_ROLES)}）：
+
+    【身份】subagent／inkstone/ISEP／feat/my-branch
+    【身份】總管／inkstone/InkStoneCo／-
+
+**這條管所有人，不是只管 subagent。** 總管寫在票上的東西同樣要標。
+實害（2026-08-27）：多條線並行時票上看不出誰寫的，
+總管寫的診斷被當成 subagent 的結論，而其中一則是錯的。
+
+規約全文：docs/governance/dispatch-and-reply-format.md §3""")
+
+
+# TICKET_HOST 只給測試用（指到一個連不上的位址，就能在不真的開票的前提下
+# 驗「閘放行了沒」——閘擋下＝離開碼 2 且有 🚫；閘放行＝走到網路那一層才炸）。
+HOST = os.environ.get("TICKET_HOST") or "https://git.uncle6.me"
 ORG = "inkstone"
 STAMP_DIR = "/tmp"
 STAMP_TTL = 30 * 60  # 戳記 30 分鐘失效——搜過就要趁記憶還熱的時候開
@@ -103,10 +141,65 @@ def parse_ref(s):
     return m.group(1), m.group(2), int(m.group(3))
 
 
+def api_soft(path):
+    """讀一筆，失敗就回 None（不 die）。給「錦上添花」的資訊用，不影響任何判斷。"""
+    try:
+        url = f"{HOST}/api/v1{path}"
+        req = urllib.request.Request(
+            url, headers={"Authorization": f"token {token()}"})
+        return json.load(urllib.request.urlopen(req, timeout=20))
+    except SystemExit:
+        raise
+    except Exception:
+        return None
+
+
 def stamp_path():
     return os.path.join(STAMP_DIR, ".ticket-where-ok")
 
 
+# ── 「跑過」與「看過」的分界（inkstone/ISEP#72 → comment 4873）────────────
+#
+# 2026-08-27 實錯（本段的來由，leo 當場點破）：
+#     python3 scripts/ticket where 卡片 沒上雲 收檔 佇列 送達 ingest >/dev/null 2>&1
+#     python3 scripts/ticket new arcrun-rag -F … --title "…"   → ✅ #147 已開
+# 而重跑同一個搜尋、這次看輸出：**第一名就是 arcrun-rag#104**，同一件事，開了 13 天。
+#
+# ⇒ 舊戳記證明的是「這個程序被執行過」，不是「這個人看過結果」。
+#   而「有沒有看」在 stdout 那一端——閘本來完全碰不到。
+#
+# 這支函式就是把那一端變成**機械事實**：一個 fd 是不是 /dev/null，
+# 是 fstat 問得出來的，不是對文字的猜測（本 repo 心法第 1 條：封動作不封文字）。
+#
+# 🔴 刻意只認 /dev/null 這一種，不擴大到「重導到檔案」「接到 pipe」：
+#    寫進檔案還讀得回來、接進 pipe 還有下游，只有 /dev/null 是**物理上找不回來**。
+#    多認一種都會開始誤攔（心法第 2 條：永遠在響的警報等於沒有警報）。
+def fd_is_devnull(fd):
+    try:
+        s = os.fstat(fd)
+        if not stat.S_ISCHR(s.st_mode):
+            return False        # 一般檔案／pipe／socket：內容至少送到了讀得回來的地方
+        return s.st_rdev == os.stat(os.devnull).st_rdev
+    except Exception:
+        return True             # 問不出來就當「沒被看見」——閘不准因為內部錯誤靜默放行
+
+
+def excerpt(body, n=220):
+    t = re.sub(r"\s+", " ", body or "").strip()
+    return (t[:n] + "…") if len(t) > n else (t or "（沒有內文）")
+
+
+def candidate_lines(detail):
+    """把候選票印成同一個樣子——`where` 印它，`new` 擋下來時也印它（同一份東西）。"""
+    out = []
+    for d in detail:
+        out.append(f"  [{d.get('score', '?')}] {d['ref']}  {d.get('labels', [])}")
+        out.append(f"       {(d.get('title') or '')[:70]}")
+        if d.get("excerpt"):
+            out.append(f"       ↳ {d['excerpt'][:170]}")
+    return out
+
+
 # ── where ────────────────────────────────────────────────────────────────
 def cmd_where(argv):
     if not argv:
@@ -123,18 +216,39 @@ def cmd_where(argv):
             seen[ref] = {"score": 1, "it": it}
     hits = sorted(seen.values(), key=lambda x: -x["score"])
 
+    detail = []
+    for h in hits[:12]:
+        it = h["it"]
+        detail.append({"ref": it["repository"]["full_name"] + "#" + str(it["number"]),
+                       "score": h["score"], "title": it["title"] or "",
+                       "labels": [l["name"] for l in it.get("labels", [])]})
+
+    # 前 3 名補內文摘要。2026-08-27 的實害正是「光看標題看不出是同一條線」：
+    # arcrun-rag#104 的標題是「它把我整個 repo 的一萬多個檔案排進佇列」，
+    # 而它票頭第一段講的就是「這些庫都早就萃好了…直接 ingest」——同一件事。
+    # 拿不到就安靜跳過（純加分，不影響任何判斷）。
+    for d in detail[:3]:
+        o, r, n = parse_ref(d["ref"])
+        got = api_soft(f"/repos/{o}/{r}/issues/{n}")
+        if got:
+            d["excerpt"] = excerpt(got.get("body"))
+
     print(f"🔍 搜尋：{' '.join(kws)}　→ 命中 {len(hits)} 張 open 票\n")
     if not hits:
         print("  （沒有命中——換幾個講法再試一次。真的沒有，才輪到開新票）")
-    for h in hits[:12]:
+    for line in candidate_lines(detail):
-        it, labels = h["it"], [l["name"] for l in h["it"].get("labels", [])]
+        print(line)
-        print(f"  [{h['score']}] {it['repository']['full_name']}#{it['number']}  {labels}")
-        print(f"       {it['title'][:70]}")
 
+    # 🔴 這行是本閘的全部：輸出有沒有可能到得了人眼前，是 fstat 問得出來的事實。
+    shown = not fd_is_devnull(1)
     with open(stamp_path(), "w") as f:
-        json.dump({"at": time.time(), "kws": kws, "n": len(hits),
+        json.dump({"at": time.time(), "kws": kws, "n": len(hits), "shown": shown,
-                   "top": [h["it"]["repository"]["full_name"] + "#" + str(h["it"]["number"])
+                   "top": [d["ref"] for d in detail], "top_detail": detail}, f)
-                           for h in hits[:12]]}, f)
+    if not shown:
+        # stdout 被丟進 /dev/null。訊息改走 stderr（它常常還活著）；
+        # 就算兩邊都被丟掉也沒關係——戳記已經記下 shown=false，`new` 那端會擋。
+        print("\n⚠️ 這次搜尋的輸出被丟進 /dev/null，等於沒有人看過。"
+              "\n   `ticket new` 會擋下來並把上面這份清單再交到你眼前一次。", file=sys.stderr)
 
     print(f"""
 ── 決定要做什麼 ───────────────────────────────────────────────
@@ -154,6 +268,7 @@ def cmd_say(argv):
         die("用法：ticket say <owner/repo#N> -F <內文檔>")
     owner, repo, num = parse_ref(argv[0])
     body = open(argv[2]).read()
+    check_identity(body, "貼進票的留言")
     c = api(f"/repos/{owner}/{repo}/issues/{num}/comments", {"body": body})
     print(f"✅ 已貼進 {owner}/{repo}#{num}")
     print(f"   定址：{owner}/{repo}#{num}#issuecomment-{c['id']}")
@@ -185,9 +300,47 @@ leo 原話：「**寫開票前先去搜尋要開在哪裡，不然你永遠會
     if time.time() - st["at"] > STAMP_TTL:
         die(f"🚫 搜尋戳記已過期（超過 {STAMP_TTL // 60} 分鐘）。重跑一次 ticket where")
 
+    # 閘一之二：搜尋的結果**到得了人眼前**了沒（inkstone/ISEP#72 → comment 4873）
+    #
+    # 🔴 這道閘要擋的不是「沒搜」，是「搜了但沒看」——今天實犯：
+    #    `ticket where … >/dev/null 2>&1` 之後直接 `new`，命中的 72 張一眼都沒看，
+    #    而第一名 arcrun-rag#104 就是同一件事（開了 13 天）。
+    #
+    # ⚠️ 這一段刻意放在閘二**之前**：否則第一次就帶 `--not-a-comment "理由"`
+    #    的人永遠不會看到候選清單——理由是閉著眼睛寫的，那道閘等於沒有。
+    #
+    # 成本落在「看」不落在「寫」：擋下來的訊息**本身就是那份被丟掉的輸出**，
+    # 看完重下同一個指令就會過。不要求多打任何一個字，也不判斷理由寫得好不好
+    # （leo 2026-08-17 已證偽文字層判準：8 次誤攔、0 次正確攔截）。
+    if st["n"] > 0 and not st.get("shown"):
+        lines = candidate_lines(st.get("top_detail") or []) or \
+            ["  " + r for r in (st.get("top") or [])]
+        # 只要 stderr 不是 /dev/null，這一次的擋就已經把清單交到眼前了 → 記進戳記。
+        # 兩邊都被丟掉時**不記**（fail-closed）：下次還是擋，不會靜默放行。
+        if not fd_is_devnull(2):
+            st["shown"] = True
+            with open(stamp_path(), "w") as f:
+                json.dump(st, f)
+        die("""🚫 搜尋跑過了，但那份輸出沒有到任何人眼前（stdout 是 /dev/null）。
+
+leo 2026-08-27：「**同一個 session 開兩個一樣的任務就算了，新開票沒搜尋就隨便動手開**」
+實錯（同日）：`ticket where … >/dev/null` → 開出 arcrun-rag#147，
+而命中的第一名 arcrun-rag#104 講的就是同一件事，已經開了 13 天。
+
+⇒ **戳記證明的是「這個程序被執行過」，不是「這個人看過結果」。**
+
+命中的 {n} 張，前幾張在這裡——這就是剛才被丟掉的那一份：
+
+{lines}
+
+看完覺得真的都不是同一條線 → **重下一次一模一樣的指令就會過**，不必多打任何字。
+（判準是「輸出有沒有進得了 /dev/null 以外的地方」，不看你寫了什麼理由。）""".format(
+            n=st["n"], lines="\n".join(lines)))
+
     # 閘二：搜到了東西，就要說明為什麼不是貼進去
     if st["n"] > 0 and "--not-a-comment" not in argv:
-        top = "\n".join("     " + t for t in st["top"][:8])
+        top = "\n".join(candidate_lines((st.get("top_detail") or [])[:8])) or \
+            "\n".join("     " + t for t in st["top"][:8])
         die(f"""🚫 剛才那次搜尋命中 {st['n']} 張 open 票，你卻要開新的。
 
 命中的前幾張：
@@ -299,7 +452,7 @@ def cmd_close(argv):
 
     if deliv:
         api(f"/repos/{owner}/{repo}/issues/{num}/comments",
-            {"body": f"✅ 結案。交付物：{deliv}"})
+            {"body": f"{os.environ.get('ISEP_IDENTITY') or f'【身份】總管／{owner}/{repo}／-'}\n\n✅ 結案。交付物：{deliv}"})
     api(f"/repos/{owner}/{repo}/issues/{num}", {"state": "closed"}, method="PATCH")
     print(f"✅ {owner}/{repo}#{num} 已關（交付物：{deliv or ('PR' if has_pr else '票上回報')}）")
 
@@ -329,6 +482,8 @@ def cmd_decide(argv):
     body = open(argv[2]).read()
     nxt = argv[argv.index("--next") + 1] if "--next" in argv else None
 
+    check_identity(body, "裁決紀錄")
+
     if "leo" not in body.lower() and "原話" not in body:
         die("🚫 答案檔裡看不到 leo 的原話。\n"
             "   **裁決要記原話，不是記你的轉述**——轉述會漂，原話不會。\n"

system-dev/wiki/mistakes.md

@@ -77,3 +77,44 @@ Gitea 上**一個 release tag 都沒有**。
       **不要用 sed**，正體中文加上訊息裡的 `/`、`&`、`\` 讓跳脫非常脆。
       迴歸測試要**檢查訊息內容**，不能只檢查離開碼
       （`hooks/tests/ask-user-question-guard.test.sh` 的 ⑩b 就是這一條）。
+
+## ⚠️ MISTAKE: 閘只驗了規則的**殼**，沒驗規則本身
+
+`no-ticket-no-dispatch.sh` 掛在派工的當下，檢查「派工單裡有沒有一行 `【工單】owner/repo#N`」。
+規則的原文卻是「**不准把票上已經有的東西再抄一遍進派工單**⋯⋯派工單只寫票號」。
+
+⇒ 於是可以**把 40 行任務全寫在 prompt 裡、票號補一行**，閘照樣放行。
+⇒ 2026-08-27 一天之內這樣做了 5 次，每一次票上都沒有那份任務。
+   leo：「**這些話票上都沒有，你根本沒照規則做事，你的 hook 讓你這樣搞？**」
+
+**根因不是那支閘寫壞了，是它驗的東西比規則小。**
+「有沒有票號」是規則最容易機械化的那一格，所以它被實作了；
+「任務有沒有真的落在票上」比較難，所以沒有——而漏掉的那格才是規則的本體。
+
+⇒ **判準：寫完一支閘，回頭把規則原文逐句對一次，問「這一句被驗到了嗎」。**
+   只驗得到最容易的那一格 ⇒ 那支閘會製造「有在管」的錯覺，比沒有閘更危險。
+⇒ 同款：history-first／KBDB-first／stage-first／`AskUserQuestion` 裸奔，全是這個形狀。
+
+修法（v0.5.0）：`dispatch-format-guard.sh`——**派工單 ＝ 票號，多一個字都擋**。
+規則變得比原本更嚴，反而更好驗：判準從「內容夠不夠」變成「這一行是不是【工單】欄位」，
+純結構、不用語意判官、每次結果一樣。
+規約：`docs/governance/dispatch-and-reply-format.md`。
+
+日期: 2026-08-27（`inkstone/ISEP#30` comment 4322／4325／4327）
+
+## ⚠️ MISTAKE: 「這是 session 才知道的事」被當成寫進 prompt 的正當理由
+
+派工鐵律允許派工單帶「這個 session 才知道、票上還沒有的事」。
+總管照字面理解，把 TCC 權限、`main` 是哪顆 commit、正本能從哪裡 clone 三件事寫進 prompt。
+
+leo 當場：「**這些為什麼不寫到票裡？**」
+
+⇒ **「票上還沒有」不是把它寫進 prompt 的理由——它就是「去把它寫上票」的指令。**
+⇒ 實害（同日）：總管停掉重派 3 次，**前兩次的任務與 session 事實全部隨 prompt 蒸發**。
+   票活得比任何一個 agent 久，prompt 不是。
+
+判準：**「這句話換一張票還成立嗎？」**
+還成立 ⇒ 共通規定（`docs/governance/dispatch-and-reply-format.md` §2，機器自動注入）。
+只有這次成立 ⇒ 寫進那張票。**兩種都不進派工單。**
+
+日期: 2026-08-27（`inkstone/ISEP#30` comment 4327）