Compare commits
1 Commits
| Author | SHA1 | Date | |
|---|---|---|---|
 Leo
|
e177f6372b |
+4
-7
@@ -43,15 +43,12 @@ bash scripts/test-release-tag-guard.sh
|
||||
**該看到**：`3/3 通過`（1 個該擋、2 個不該擋）。
|
||||
**失敗**：該擋的放行（假綠）；或不該擋的被擋——**誤攔比漏擋更該修**，誤攔會懲罰謹慎。
|
||||
|
||||
### A4 — 新增 Gitea 東西的側門閘：24 條
|
||||
### A4 — 開票側門閘：13 條
|
||||
```
|
||||
bash scripts/test-ticket-api-bypass-guard.sh
|
||||
```
|
||||
**該看到**：`24/24 通過`（前 13 條是 v1 的開票案例；後面是 inkstone/ISEP#72
|
||||
擴大範圍後補的：隱式/小寫 POST、milestone／label／PR、org 端點、以及一條打
|
||||
真實 Gitea 網路重演 Arcrun#100 的案例——這台機器的 remote 沒帶憑證時會印
|
||||
`⏭️ SKIP`，不算失敗，但也不算驗過）。
|
||||
**失敗**：任何一條不符，特別看「不該擋」那幾條——誤攔比漏擋更該修。
|
||||
**該看到**：`13/13 通過`。
|
||||
**失敗**：任何一條不符，特別看「不該擋」那 8 條。
|
||||
|
||||
### A5 — 開票前的搜尋是跨 repo 的
|
||||
```
|
||||
@@ -244,7 +241,7 @@ B2（信標那行）／B3（setup 輸出）／B4（閘的訊息）三個畫面
|
||||
| A1 manifest 合法 | 總管 | ✅ |
|
||||
| A2 版本三處一致 | 總管 | ✅ |
|
||||
| A3 打 tag 閘 | 總管 | ✅ 3/3 |
|
||||
| **A4 新增 Gitea 東西側門閘** | 總管 | ✅ 24/24（2026-08-27，inkstone/ISEP#72） |
|
||||
| A4 開票側門閘 | 總管 | ✅ 13/13 |
|
||||
| A5 搜尋跨 repo | 總管 | ✅ |
|
||||
| A6 標籤對齊＋冪等 | 總管 | ✅ 14 repo，第二次 0/0 |
|
||||
| **A9 人閘警察管路** | 總管 | ✅ 14/14（2026-08-26） |
|
||||
|
||||
@@ -43,7 +43,7 @@
|
||||
| `not-my-branch-guard.sh` | AI 想 commit 到「別的 subagent 正在施工中」的分支（登記在 `branch-holds.md`）就擋下，避免兩個 AI 互踩同一條分支。 | 🛑 擋 |
|
||||
| `leo21c-write-guard.sh` | AI 想寫東西到你私人帳號 `leo21c` 就擋下——這個帳號只准你自己用，AI 的實驗一律走別的測試帳號。 | 🛑 擋 |
|
||||
| `release-tag-guard.sh` | AI 想打版本 tag，但 `plugin.json` 裡寫的版本號跟 tag 對不上就擋下——避免「這裡說 0.2.0、那裡說 0.1.0」各說各話。 | 🛑 擋 |
|
||||
| `ticket-api-bypass-guard.sh` | AI 想繞過 `scripts/ticket` 工具、直接打 API 新增 Gitea 東西（開新票／milestone／label／PR，會漏掉「新增前先搜過」這道檢查）就擋下——不管是隱式 POST（urllib 傳 data= 沒寫 method）還是小寫 `requests.post(...)`。 | 🛑 擋 |
|
||||
| `ticket-api-bypass-guard.sh` | AI 想繞過 `scripts/ticket` 工具、直接打 API 開新 Gitea 票（會漏掉「開票前先搜過」這道檢查）就擋下。 | 🛑 擋 |
|
||||
| `reply-identity-guard.sh` | 直接打 Gitea API 貼留言到票上時，內文第一行沒有 `【身份】`（`總管`／`subagent`／`leo`）就擋下——票上多條線並行時，看不出哪一則是誰寫的。純讀取、走 `scripts/ticket` 正門、指令裡加 `reply-identity-ok` 都放行。 | 🛑 擋 |
|
||||
|
||||
## B. AI 想寫檔案／改程式碼的當下（PreToolUse / Write·Edit·MultiEdit）
|
||||
@@ -56,7 +56,7 @@
|
||||
| `sdd-guard.sh` | AI 想直接動程式碼檔案，但找不到「唯一一份 active 規格文件（SDD）」對應這件事，或同時有一份以上 active 規格就擋下。 | 🛑 擋 |
|
||||
| `credential-only-guard.sh` | AI 想把金鑰真身或自製佔位符（例如 `__XXX_TOKEN__`）寫進設定檔就擋下——金鑰只准放在統一的 credential 中心。 | 🛑 擋 |
|
||||
| `arcrun-intent-guard.sh` | AI 寫的 Arcrun workflow 語法不對就擋下，而且**直接把正確寫法回貼給它**（不是只罵它錯，是教它怎麼改）。 | 🛑 擋（教學型） |
|
||||
| `subagent-first-guard.sh` | 這個對話**從頭到尾都沒有派過任何 subagent**，AI 卻要自己動手改程式碼，就先擋一次，逼它想一想「這件事能不能交給別人做」。 | 🛑 擋 |
|
||||
| `subagent-first-guard.sh` | AI（不是被派來做這件事的 subagent 本人）要親手改程式碼（含閘自己的 `.sh`），就擋下逼它想「這件事能不能交給別人做」——擋過一次後有寬限期不鬼打牆，但寬限期一過會再響，不是擋過一次就永久放行。 | 🛑 擋 |
|
||||
| `mistake-needs-ticket-guard.sh` | AI 想往 `mistakes.md`（教訓紀錄）新增一條「機制可以防止」的教訓，卻沒附對應票號就擋下——沒有票號的教訓沒有人會回頭處理。 | 🛑 擋 |
|
||||
| `pending-changes-retired.sh` | AI 想寫東西進已經廢除的 `pending-changes.md` 檔案就擋下——這個檔案已停用，規格變更一律改開 Gitea 票。 | 🛑 擋 |
|
||||
|
||||
@@ -126,7 +126,7 @@
|
||||
| 閘名 | 對你意味著什麼 | 動作 |
|
||||
|---|---|---|
|
||||
| `kbdb-asked-stamp.sh` | AI 真的查過 KBDB 之後，留一個時間戳——給前面 `history-first-guard.sh` 判斷「這輪有沒有先查過」用。 | 📝 記錄 |
|
||||
| `subagent-first-stamp.sh` | AI 真的派過工之後，留一個時間戳——給 `subagent-first-guard.sh` 判斷用。 | 📝 記錄 |
|
||||
| `subagent-first-stamp.sh` | AI 真的派過工之後，留一個時間戳——純資訊，給被 `subagent-first-guard.sh` 擋下時的訊息當脈絡（「上次派工是幾分鐘前」），不再是放行判準。 | 📝 記錄 |
|
||||
| `issue-status-autoflip.sh` | AI 一派工出去，就自動把對應的 Gitea 票改成「進行中（s/doing）」，不必等人手動改標籤。 | 📝 記錄（自動改票） |
|
||||
|
||||
## I. 你會撞到但跟「派工／收工」無關的一支（Edit·MultiEdit）
|
||||
|
||||
@@ -1,6 +1,6 @@
|
||||
#!/bin/sh
|
||||
# subagent-first-guard.sh — PreToolUse（Write|Edit|MultiEdit）：
|
||||
# 要親手改 code，卻**這個 session 一次工都沒派過** → 擋一次，逼你先回答「這件事該不該派出去」。
|
||||
# 要親手改 code，卻不是被派來做這件事的人 → 擋，逼你先回答「這件事該不該派出去」。
|
||||
#
|
||||
# 🔴 立這道閘的來由（leo 2026-08-08）：
|
||||
# 「你記得**要叫 subagent 開工，你負責維護 loop**，而不是你開工後過一陣子停下來對吧？
|
||||
@@ -15,8 +15,34 @@
|
||||
# 這道閘負責讓「授權」真的變成「行為」——同 KBDB 那道的教訓：
|
||||
# **規則被讀到 ≠ 會被執行，要有機制驗證照做**。
|
||||
#
|
||||
# 逃生口：真的該自己做（單行修、改 hook 自己、緊急止血、subagent 回報後的收尾）
|
||||
# → `touch /tmp/.solo-ok-<session_id>` 後重送，並**在回覆裡說明理由**（留痕）。
|
||||
# 🔴 2026-08-27 改版（inkstone/ISEP#66）——leo 當場撞到：「你禁止寫 code，為什麼你改？
|
||||
# 為什麼你可以執行？」查出來這道閘同時有三個洞，改完的是這三個：
|
||||
#
|
||||
# 洞一：`.sh` 從來不在受管副檔名清單裡。這個 repo 自己的閘全部是 .sh
|
||||
# ⇒ 總管改任何一支閘，這道閘從第一行 case 就直接放行，路徑白名單根本沒機會判斷。
|
||||
# 這才是「改 no-ticket-no-dispatch.sh 閘一聲不響」的真正原因，不是路徑豁免。
|
||||
# → 修法：閘本身（`.claude/hooks/*.sh`、`hooks/*.sh`）獨立收進受管清單，
|
||||
# 不看副檔名是不是「傳統程式語言」。同時拿掉 `*/.claude/hooks/*` 整目錄豁免——
|
||||
# 「能改閘的人，等於能關掉所有其他閘」，這句話本身就是拿掉它的理由；
|
||||
# 真要緊急止血，走下面②的 solo-ok，不需要一扇整目錄常開的門。
|
||||
# 洞二：「這個 session 派過一次工」被當永久放行條件。但「派過一次」跟
|
||||
# 「有派工的習慣」是兩件事——派過工只回答了「那一件任務有沒有交出去」，
|
||||
# 回答不了「這一次任意的手改合不合理」。→ 修法：這個訊號整個拿掉，
|
||||
# 不再是放行條件（只留來在被擋下時的提示文字裡，讓你看到「你剛剛才派過工，
|
||||
# 這次怎麼不派」，純資訊、不放行）。
|
||||
# 洞三：「同一 session 只擋一次」＝警報响過一次就對這個 session 的餘生啞掉，
|
||||
# 等於自己承認「這道閘只在第一次有效」。但本 repo 心法第二條反過來也成立：
|
||||
# 永遠在響 = 訓練人忽略它。→ 修法：改成「寬限期內不重複鬼打牆，
|
||||
# 寬限期一過就再響」——兩頭都要顧，不是選一邊犧牲。
|
||||
#
|
||||
# 放行只剩三種：
|
||||
# ① CLAUDE_CODE_CHILD_SESSION=1 —— 這是被派來做事的 subagent 本人，它就是被派來寫的
|
||||
# ② /tmp/.solo-ok-<session_id> 存在且**非空**（寫了理由，不是 touch 空檔）
|
||||
# ③ 檔案本身不歸這道閘管（測試檔／system-dev 的 wiki／非受管副檔名）
|
||||
#
|
||||
# 逃生口：真的該自己做（單行修、緊急止血、subagent 回報後的收尾）
|
||||
# → 把理由寫進檔案本身，不是單純 touch：
|
||||
# echo "單行修 xxx，理由 yyy" > /tmp/.solo-ok-<session_id>
|
||||
set -eu
|
||||
|
||||
INPUT="$(cat)"
|
||||
@@ -33,34 +59,62 @@ except Exception: print("nosid")
|
||||
|
||||
[ -z "$FILE_PATH" ] && exit 0
|
||||
|
||||
# 只管 code 檔——文件、SDD、wiki、測試、hook 自己都放行
|
||||
# （這些本來就常是總管自己該寫的：判準、規格、落帳）
|
||||
# ① 這是被派來做事的 subagent 本人（不是總管自己）→ 它本來就該寫 code，不歸這道閘管
|
||||
[ "${CLAUDE_CODE_CHILD_SESSION:-}" = "1" ] && exit 0
|
||||
|
||||
# 只管「這是不是該被派工規則管的程式碼」——
|
||||
# 一般受管語言，加上「閘本身」（即使是 .sh，這正是洞一要補的地方）
|
||||
case "$FILE_PATH" in
|
||||
*/.claude/hooks/*.sh|*/hooks/*.sh) ;;
|
||||
*.ts|*.tsx|*.js|*.jsx|*.mjs|*.go|*.py|*.rs|*.java|*.rb) ;;
|
||||
*) exit 0 ;;
|
||||
esac
|
||||
|
||||
# 就算是受管檔案，這兩類仍放行：測試檔／頂層 wiki（system-dev/）
|
||||
case "$FILE_PATH" in
|
||||
*_test.*|*.test.*|*.spec.*|*/tests/*|*/test/*) exit 0 ;;
|
||||
*/.claude/hooks/*|*system-dev/*) exit 0 ;;
|
||||
*system-dev/*) exit 0 ;;
|
||||
esac
|
||||
|
||||
[ -f "/tmp/.subagent-spawned-$SID" ] && exit 0 # 這個 session 派過工了 → 放行
|
||||
[ -f "/tmp/.solo-ok-$SID" ] && exit 0 # 明示要自己做 → 放行（留痕）
|
||||
# ② 明示「我自己做」且寫了理由（不是空檔）→ 放行
|
||||
SOLO_OK="/tmp/.solo-ok-$SID"
|
||||
[ -s "$SOLO_OK" ] && exit 0
|
||||
|
||||
NOW=$(date +%s)
|
||||
NAG_TTL=${SUBAGENT_GUARD_NAG_TTL:-900} # 15 分鐘寬限期：同一輪不重複鬼打牆，過了才再響
|
||||
WARNED="/tmp/.subagent-guard-warned-$SID"
|
||||
[ -f "$WARNED" ] && exit 0 # 同一 session 只擋一次，不鬼打牆
|
||||
|
||||
if [ -f "$WARNED" ]; then
|
||||
WARN_TS=$(cat "$WARNED" 2>/dev/null || echo 0)
|
||||
case "$WARN_TS" in ''|*[!0-9]*) WARN_TS=0 ;; esac
|
||||
if [ $((NOW - WARN_TS)) -lt "$NAG_TTL" ]; then
|
||||
exit 0 # 剛擋過，還在寬限期內 → 不重複鬼打牆
|
||||
fi
|
||||
fi
|
||||
date +%s > "$WARNED"
|
||||
|
||||
cat >&2 <<'EOF'
|
||||
🧑🏭 派工警察：你要親手改 code，但這個 session **一次工都沒派過**。
|
||||
# 派過工不是放行條件（洞二），但拿來給脈絡：讓你看到「上次派工是多久前」
|
||||
DISPATCH_NOTE=""
|
||||
SPAWNED="/tmp/.subagent-spawned-$SID"
|
||||
if [ -f "$SPAWNED" ]; then
|
||||
D_TS=$(cat "$SPAWNED" 2>/dev/null || echo 0)
|
||||
case "$D_TS" in ''|*[!0-9]*) D_TS=0 ;; esac
|
||||
if [ "$D_TS" -gt 0 ] 2>/dev/null; then
|
||||
MIN_AGO=$(( (NOW - D_TS) / 60 ))
|
||||
DISPATCH_NOTE="
|
||||
|
||||
【這個 session 派過工】最近一次是 ${MIN_AGO} 分鐘前——
|
||||
但「派過一次」不等於「這次也不用派」，兩件事分開判斷。"
|
||||
fi
|
||||
fi
|
||||
|
||||
cat >&2 <<EOF
|
||||
🧑🏭 派工警察：你要親手改 code。${DISPATCH_NOTE}
|
||||
|
||||
【leo 2026-08-08】「你記得**要叫 subagent 開工，你負責維護 loop**，
|
||||
而不是你開工後過一陣子停下來對吧？」
|
||||
|
||||
【已知的環境陷阱】Claude Desktop 這個 surface 的 system prompt 有
|
||||
`Do not call the AgentTool unless the user requested it`，會壓過 CLAUDE.md 規則三點五。
|
||||
**leo 已在 CLAUDE.md 給出常駐授權**（規則三點五的「常駐授權」段）＝那個條件永久滿足，
|
||||
不必再等他開口。
|
||||
【leo 2026-08-27】「你禁止寫 code，為什麼你改？為什麼你可以執行？」
|
||||
——這句話問的就是現在這一次。
|
||||
|
||||
先回答一句（答不出來就是該派）：
|
||||
這件事**為什麼不能交給 subagent**？
|
||||
@@ -69,6 +123,8 @@ cat >&2 <<'EOF'
|
||||
✅ 該自己做：判準／規格／落帳（那些檔本來就放行）、subagent 回報後的收尾裁決、
|
||||
單行修、緊急止血
|
||||
|
||||
決定自己做 ⇒ `touch /tmp/.solo-ok-$SID` 後重送，並**在回覆裡說明理由**。
|
||||
決定自己做 ⇒ 把理由寫進檔案本身（不是 touch 空檔）：
|
||||
echo "理由：xxx" > /tmp/.solo-ok-$SID
|
||||
再重送這次操作。
|
||||
EOF
|
||||
exit 2
|
||||
|
||||
@@ -4,6 +4,12 @@
|
||||
# 配 subagent-first-guard.sh 使用（同 kbdb-asked-stamp.sh 的形狀）。
|
||||
# 只留時戳，不擋任何東西。
|
||||
#
|
||||
# 🔴 2026-08-27（inkstone/ISEP#66）：這個時戳**不再是放行條件**。
|
||||
# 「派過一次工」曾經被 subagent-first-guard.sh 當成「這個 session 永久放行」——
|
||||
# 但那混淆了「這件任務有沒有交出去」跟「下一次任意的手改合不合理」，是兩件事。
|
||||
# 現在這支只負責留時戳，給被擋下時的訊息當脈絡用（「上次派工是幾分鐘前」），
|
||||
# 純資訊、不影響放行判斷。
|
||||
#
|
||||
# 🔴 為什麼要按 session 分開存（而不是像 KBDB 那道用全域＋1 小時 TTL）：
|
||||
# 「這一輪工作有沒有先考慮派工」是**每個 session 各自要回答**的問題。
|
||||
# 用全域檔的話，昨天派過一次就等於永久解鎖，這道閘會在第二天起完全失效。
|
||||
|
||||
@@ -1,45 +1,26 @@
|
||||
#!/bin/bash
|
||||
# 管什麼: 用 Gitea API 直接「新增」東西時（開新票／開新 milestone／開新 label／開新 PR），
|
||||
# 要求這一輪有跑過搜尋（/tmp/.ticket-where-ok，30 分鐘內）。
|
||||
# 為什麼: scripts/ticket 早就強制先搜，但那道閘只擋走正門的人；而擋側門的第一版只認
|
||||
# 大寫裸字 POST，2026-08-27 總管用 `requests.post(...)`／隱式 POST 的 urllib
|
||||
# 繞了過去，同一天又用 API 直接開了 milestone/label/PR（這版都沒管）。
|
||||
# 誤觸時怎麼關: 跑 `scripts/ticket where <關鍵字>` 先搜（之後 30 分鐘所有寫入端點都放行），
|
||||
# 或在指令裡加 `ticket-api-ok` 留痕放行。
|
||||
# ticket-api-bypass-guard.sh — 新增 Gitea 東西的每一道側門，都要經過同一道搜尋閘
|
||||
# 管什麼: 用 Gitea API 直接開新票時，要求這一輪有跑過跨 repo 的搜尋（/tmp/.ticket-where-ok，30 分鐘內）。
|
||||
# 為什麼: scripts/ticket 早就強制先搜，但那道閘只擋走正門的人。2026-08-20 總管走 API 側門開了 12 張票，每一張都跟舊票重疊。
|
||||
# 誤觸時怎麼關: 跑 `scripts/ticket where <關鍵字>` 先搜（之後 30 分鐘 API 也放行），或在指令裡加 `ticket-api-ok` 留痕放行。
|
||||
# ticket-api-bypass-guard.sh — 開票的「側門」也要經過同一道搜尋閘
|
||||
#
|
||||
# 來由（leo 2026-08-20 當場問「如何防止」；2026-08-27 leo 把範圍講寬：
|
||||
# 「不只開票前⋯⋯所有新增 gitea 的東西，都要搜尋」）：
|
||||
# 來由（leo 2026-08-20 當場問「如何防止」）：
|
||||
# `scripts/ticket new` 早就強制「開票前先搜」（/tmp/.ticket-where-ok 戳記，30 分鐘失效）。
|
||||
# 但 2026-08-20 總管開了 12 張與舊票重疊的新票——沒用那支工具，直接打 API。
|
||||
# 2026-08-27 總管又開了 13 張，這次連當時的 v1 guard 都繞過了：
|
||||
# v1 判準只認一個裸字 `grep -qw POST`（leo 2026-08-17 定的哲學：封動作不封文字，
|
||||
# 一個裸字夠了），但那天實際指令是 `req = urllib.request.Request(url, data=...)`
|
||||
# （靠傳 data= 隱式變成 POST，指令裡從頭到尾沒有 "POST" 三個字母），或
|
||||
# `requests.post(...)`（小寫 post，`grep -qw POST` 大小寫敏感照樣漏）。
|
||||
# ⇒ 這不是「該封文字改封動作」的問題（v1 本來就在封動作：打了寫入端點），
|
||||
# 是「認動作的方式」本身漏了 HTTP 語意裡的隱式 POST。本版把「寫入訊號」從
|
||||
# 單一裸字，換成「curl 的資料類旗標／`.post(`／`method=post`／urllib 隱式 POST」
|
||||
# 這組結構性訊號——訊號種類有限、可枚舉，跟關鍵字黑名單不是同一件事。
|
||||
# 但總管當天開了 12 張與舊票重疊的新票——因為他**沒用那支工具，直接打 Gitea API**。
|
||||
# ⇒ 規範有、閘也有，但閘長在「工具」上，而那個動作有兩條路，只封了一條。
|
||||
# leo：「你在讓事情複雜化」／「每張票開以前都要搜尋現有票，你為什麼會開了不搜？」
|
||||
#
|
||||
# 這支封的是**動作**：任何 Bash 指令只要在對 Gitea 的「集合端點」
|
||||
# （issues／milestones／labels／pulls，不帶 ID＝新增；帶 ID＝改既有的，放行）做寫入，
|
||||
# 這支封的是**動作**：任何 Bash 指令只要在對 Gitea 的 issues 端點做寫入，
|
||||
# 就要有一個新鮮的搜尋戳記。它不強迫你用 scripts/ticket，只強迫你搜過。
|
||||
# （同 InkStoneCo#36：「守 prod 的閘，包一層腳本就繞過去了——它看的是指令長相」。
|
||||
# 本支同樣只看得到指令文字，這是 PreToolUse 這層的天花板。）
|
||||
# 本支同樣只看得到指令文字，這是 PreToolUse 這層的天花板；
|
||||
# 所以判準取「端點 ＋ 寫入動詞」兩個都命中才擋，讓純讀取一律放行。）
|
||||
#
|
||||
# 放行（刻意，這些都不是「新增」）：
|
||||
# 放行（刻意，這些都不是「開票」）：
|
||||
# - 只讀不寫（GET）：撈清單、看票、對帳
|
||||
# - 對既有票號的子路徑（/issues/<N>/... ／/milestones/<N> ／/labels/<N> ／/pulls/<N>...）：
|
||||
# 留言、改標籤、關票、改狀態、合併 PR——leo 要的是「不要亂開新的」，不是「不准動 Gitea」
|
||||
# - scripts/ticket 自己（它有自己的三道閘，重複擋只會互相打架）
|
||||
# - 對既有票的留言／改標籤／關票（/issues/<N>/... 這種帶票號的子路徑）
|
||||
# - scripts/ticket 自己（它有自己的閘，重複擋只會互相打架）
|
||||
# - 指令裡出現 ticket-api-ok（逃生口，會留在指令歷史上）
|
||||
#
|
||||
# 只對「issues」做主動搜尋＋在擋下的訊息裡直接點名可能撞到的舊票（milestones/labels/pulls
|
||||
# 沒有對應的跨 repo 全文搜尋端點可用，一律只要求「搜尋戳記新鮮」，不生產額外訊息——
|
||||
# 這是刻意的簡化，不是漏做；真要幫 milestone/label/PR 做語意重複檢查是另一張票的事）。
|
||||
# 搜尋本身連不上網路 → 不影響擋／放行的判斷，只影響訊息裡有沒有列出候選舊票（fail-open
|
||||
# 在「錦上添花」的部分，不 fail-open 在「該不該擋」這個核心判斷上）。
|
||||
set -uo pipefail
|
||||
|
||||
INPUT=$(cat)
|
||||
@@ -53,54 +34,18 @@ except Exception: print('')
|
||||
# 逃生口（留痕）
|
||||
case "$CMD" in *ticket-api-ok*) exit 0 ;; esac
|
||||
# scripts/ticket 有自己的閘
|
||||
case "$CMD" in *scripts/ticket*|*"ticket where"*|*"ticket new"*|*"ticket say"*|*"ticket close"*|*"ticket decide"*) exit 0 ;; esac
|
||||
case "$CMD" in *scripts/ticket*|*"ticket where"*|*"ticket new"*|*"ticket say"*) exit 0 ;; esac
|
||||
|
||||
# ① 先放行「帶了 ID 的子路徑」——issues/<N>、milestones/<N>、labels/<N>、
|
||||
# pulls/<N>（後面不管接留言／labels／合併都算），這些是在動既有的東西，
|
||||
# 不是新增。獨立判斷、排在最前面，不要留給下面那條「集合端點」regex 用
|
||||
# 貪婪比對去猜——第一版把 owner/repo 寫成「允許斜線的萬用字元」時，
|
||||
# `/repos/{REPO}/issues/5/labels`（既有票 #5 底下的 labels，不該擋）會被
|
||||
# 貪婪比對成「owner/repo 吃掉 {REPO}/issues/5，資源名是 labels」，跟真正
|
||||
# 的頂層 /labels 端點混在一起——先用「resource/數字」這個特徵擋在前面，
|
||||
# 後面那條就不必再猜。
|
||||
printf '%s' "$CMD" | grep -qE '(issues|milestones|labels|pulls)/[0-9]+' && exit 0
|
||||
# ① 有沒有打到 Gitea 的 issues 端點（不帶票號的那個＝建立新票的路徑）
|
||||
printf '%s' "$CMD" | grep -qE 'repos/[^ "'"'"']*/issues([?"'"'"'`,)\\[:space:]]|$)' || exit 0
|
||||
|
||||
# ② 有沒有打到 Gitea 的「集合端點」（不帶 ID 的那個＝新增的路徑）
|
||||
# repos/<owner>/<repo>/<resource> 或 orgs/<org>/<resource>，資源名後面立刻是
|
||||
# 「不是路徑字元」的東西（問號／引號／逗號／右括號／空白／結尾）。
|
||||
# 中間那段刻意只排除空白（不必排引號）：①已經先擋掉「帶 ID」的形狀，這裡
|
||||
# 只要认出「打到了這個資源的集合端點」就好，多抓一點字元進中間那段不影響
|
||||
# 判斷——這也是為什麼 f-string 占位符 `f"{API}/repos/{REPO}/issues"`
|
||||
# （owner/repo 被壓成一個不含斜線的 token）跟真實網址 `repos/inkstone/ISEP/issues`
|
||||
# （owner/repo 是兩段）都吃得下，不必為了兩種形狀各寫一條 pattern。
|
||||
ENDPOINT_RE='(repos|orgs)/[^[:space:]]+/(issues|milestones|labels|pulls)([^A-Za-z0-9_/]|$)'
|
||||
printf '%s' "$CMD" | grep -qE "$ENDPOINT_RE" || exit 0
|
||||
# ② 指令裡有沒有 POST 這個詞（純 GET 一律放行）
|
||||
# 刻意只認一個裸字：跳脫引號、heredoc、python、curl、各種包裝的寫法無限多，
|
||||
# 逐個補 pattern 追不完（leo 2026-08-17：「自然語言的變體是無限的，blacklist 永遠追不完」）。
|
||||
# ①已經確定這是「開票那條端點」，純讀取的指令不會出現 POST ⇒ 一個字就夠，而且沒有跳脫的破口。
|
||||
printf '%s' "$CMD" | grep -qw 'POST' || exit 0
|
||||
|
||||
RESOURCE=$(printf '%s' "$CMD" | grep -oE '/(issues|milestones|labels|pulls)([^A-Za-z0-9_/]|$)' | head -1 | grep -oE 'issues|milestones|labels|pulls')
|
||||
|
||||
# ③ 有沒有寫入訊號（純 GET 一律放行）。刻意取「結構性訊號」而非單一裸字：
|
||||
# - curl：顯式 -X/--request POST，或帶了資料類旗標（curl 帶 -d/--data* 時，
|
||||
# 沒寫 -X 也會自動變 POST——這正是舊版漏掉的其中一種隱式 POST）
|
||||
# - requests 系函式庫：`.post(`（大小寫都收）
|
||||
# - 任何函式庫的 `method=` 參數值是 post（大小寫都收）
|
||||
# - urllib.request：`Request(`／`urlopen(` 與 `data=` 同時出現（不要求同一行——
|
||||
# 多行 heredoc 裡兩者常常不在同一行）＝隱式 POST，這是 2026-08-27 實際撞到的那種寫法
|
||||
WRITE_SIGNAL=no
|
||||
if printf '%s' "$CMD" | grep -qiw 'POST'; then
|
||||
# 保留 v1 的裸字比對，但**大小寫不敏感**——v1 只認大寫 POST，
|
||||
# 2026-08-27 `requests.post(...)` 小寫照樣繞過，這裡補上不分大小寫的字。
|
||||
WRITE_SIGNAL=yes
|
||||
elif printf '%s' "$CMD" | grep -qiE -- '-X[[:space:]]*POST|--request[[:space:]=]*POST|--data(-raw|-binary|-urlencode)?([[:space:]=]|$)|--json([[:space:]=]|$)|\.post\(|method[[:space:]]*=[[:space:]]*.{0,2}post'; then
|
||||
WRITE_SIGNAL=yes
|
||||
elif printf '%s' "$CMD" | grep -qE 'urllib\.request\.(Request|urlopen)\(' \
|
||||
&& printf '%s' "$CMD" | grep -qE '\bdata[[:space:]]*='; then
|
||||
# 隱式 POST：urllib.request 傳了 data= 卻沒寫明 method——這是 2026-08-27
|
||||
# 實際撞到的寫法，指令裡從頭到尾沒有 "POST" 三個字母，上面兩層都攔不到。
|
||||
WRITE_SIGNAL=yes
|
||||
fi
|
||||
[ "$WRITE_SIGNAL" = yes ] || exit 0
|
||||
|
||||
# ④ 要有新鮮的搜尋戳記（與 scripts/ticket 共用同一個，30 分鐘）
|
||||
# ③ 要有新鮮的搜尋戳記（與 scripts/ticket 共用同一個，30 分鐘）
|
||||
STAMP=/tmp/.ticket-where-ok
|
||||
NOW=$(date +%s)
|
||||
FRESH=no
|
||||
@@ -110,108 +55,30 @@ if [ -f "$STAMP" ]; then
|
||||
fi
|
||||
[ "$FRESH" = "yes" ] && exit 0
|
||||
|
||||
# 只有 issues 才做「主動幫你搜一次」——從指令裡的 title 欄位猜關鍵字，
|
||||
# 真的搜得到就把候選舊票直接列進擋下的訊息裡（重演 2026-08-27 的 Arcrun#100）。
|
||||
# 任何一步失敗（拿不到 token、連不上網、payload 裡沒有 title）都安靜放棄，
|
||||
# 不影響「擋下來」這個判斷本身。
|
||||
HITS=""
|
||||
if [ "$RESOURCE" = "issues" ]; then
|
||||
REMOTES=$(git -C "${CLAUDE_PROJECT_DIR:-.}" remote -v 2>/dev/null || true)
|
||||
CRED_LINE=$(printf '%s' "$REMOTES" | grep -m1 'git\.uncle6\.me' | grep -m1 '@' || true)
|
||||
if [ -n "$CRED_LINE" ]; then
|
||||
TOKEN=$(printf '%s' "$CRED_LINE" | sed -E 's|.*//[^:]+:([^@]+)@.*|\1|')
|
||||
# 只認雙引號的 "title": "..."（curl -d／json.dumps 輸出的實際格式，也是
|
||||
# 2026-08-27 那 13 張票真實用的寫法，見 scripts/test-ticket-api-bypass-guard.sh
|
||||
# 既有的模擬指令）。刻意不支援單引號版本——這段 python 要塞進 bash 單引號
|
||||
# 參數字串（`python3 -c '...'`），bash 的單引號字串裡放不進一個字面單引號
|
||||
# （沒有跳脫機制），另外分岔一段處理單引號只會逼自己走回「兩層語言的引號
|
||||
# 疊在一起」那個坑。找不到 title 就安靜放棄——不影響「擋下來」這個判斷本身，
|
||||
# 只是訊息裡少列候選舊票。
|
||||
HITS=$(printf '%s' "$CMD" | _TICKET_TOKEN="$TOKEN" python3 -c '
|
||||
import os, re, sys, json, urllib.request, urllib.parse
|
||||
cat >&2 <<'MSG'
|
||||
🚫 你正在用 Gitea API 直接開新票，而這一輪沒有搜尋紀錄
|
||||
|
||||
cmd = sys.stdin.read()
|
||||
pat = "\"title\"\\s*:\\s*\"((?:\\\\.|[^\"\\\\])*)\""
|
||||
m = re.search(pat, cmd)
|
||||
if not m:
|
||||
sys.exit(0)
|
||||
title = m.group(1)
|
||||
title = title.replace("\\n", " ").replace("\\\"", "\"")
|
||||
leo 2026-08-16：「**寫開票前先去搜尋要開在哪裡，不然你永遠會亂開新票**」
|
||||
leo 2026-08-20：「**每張票開以前都要搜尋現有票，你為什麼會開了不搜？這個規範不是早就有 hook 了？**」
|
||||
|
||||
toks = []
|
||||
for t in re.findall(r"[A-Za-z0-9]+|[一-鿿]{2,}", title):
|
||||
if t not in toks:
|
||||
toks.append(t)
|
||||
toks = toks[:3]
|
||||
if not toks:
|
||||
sys.exit(0)
|
||||
規範有，閘也有——但那道閘長在 `scripts/ticket` 這支工具裡，
|
||||
而你走的是 API 這條側門。**本閘就是把那道門也封上。**
|
||||
|
||||
token = os.environ.get("_TICKET_TOKEN", "")
|
||||
seen = {}
|
||||
for kw in toks:
|
||||
q = urllib.parse.urlencode({"q": kw, "state": "open", "type": "issues", "limit": 20})
|
||||
url = "https://git.uncle6.me/api/v1/repos/issues/search?" + q
|
||||
try:
|
||||
req = urllib.request.Request(url, headers={"Authorization": "token " + token})
|
||||
data = json.load(urllib.request.urlopen(req, timeout=6))
|
||||
except Exception:
|
||||
continue
|
||||
for it in (data or []):
|
||||
ref = it["repository"]["full_name"] + "#" + str(it["number"])
|
||||
row = seen.setdefault(ref, {"score": 0, "title": it["title"]})
|
||||
row["score"] = row["score"] + 1
|
||||
|
||||
hits = sorted(seen.items(), key=lambda kv: -kv[1]["score"])[:6]
|
||||
if not hits:
|
||||
sys.exit(0)
|
||||
joined = " ".join(toks)
|
||||
print("（用猜出來的關鍵字「" + joined + "」順手搜了一次，命中：）")
|
||||
for ref, info in hits:
|
||||
score = info["score"]
|
||||
t2 = info["title"][:56]
|
||||
print(" [" + str(score) + "] " + ref + " " + t2)
|
||||
' 2>/dev/null || true)
|
||||
fi
|
||||
fi
|
||||
|
||||
case "$RESOURCE" in
|
||||
issues) VERB="開新票" ;;
|
||||
milestones) VERB="開新 milestone" ;;
|
||||
labels) VERB="開新 label" ;;
|
||||
pulls) VERB="開新 PR" ;;
|
||||
*) VERB="新增東西" ;;
|
||||
esac
|
||||
|
||||
{
|
||||
cat <<MSG
|
||||
🚫 你正在用 Gitea API 直接${VERB}，而這一輪沒有搜尋紀錄
|
||||
|
||||
leo 2026-08-16：「寫開票前先去搜尋要開在哪裡，不然你永遠會亂開新票」
|
||||
leo 2026-08-27：「開票不查是否有現成的，這是什麼問題？」「不只開票前，
|
||||
所有新增 gitea 的東西，都要搜尋」
|
||||
|
||||
規範有，閘也有——但上一版只認裸字 POST，你這次用的寫法（隱式 POST／小寫
|
||||
requests.post／milestone·label·PR 端點）沒被管到。**本閘把這些側門也封上。**
|
||||
MSG
|
||||
if [ -n "$HITS" ]; then
|
||||
printf '\n%s\n' "$HITS"
|
||||
fi
|
||||
cat <<'MSG'
|
||||
實錯（2026-08-20 同日）：總管用 API 開了 12 張票，事後盤點**每一張都跟舊票重疊**，
|
||||
全部只能關掉指回舊票。leo：「**你在讓事情複雜化**」。
|
||||
|
||||
── 怎麼過（擇一）───────────────────────────────
|
||||
1. 先搜（預設，戳記 30 分鐘有效，之後所有寫入端點都放行）：
|
||||
1. 先搜（預設，戳記 30 分鐘有效，之後 API 也放行）：
|
||||
scripts/ticket where <關鍵字...>
|
||||
🔴 搜到同一條線就貼進那張票，不要開新的：
|
||||
🔴 搜到了就**貼進那張票**，不要開新的：
|
||||
scripts/ticket say <owner/repo#N> -F <內文檔>
|
||||
|
||||
2. 開票真的是新的一條線 → 直接用那支工具開，它會幫你把該檢查的檢查完：
|
||||
2. 真的是新的一條線 → 直接用那支工具開，它會幫你把該檢查的檢查完：
|
||||
scripts/ticket new <repo> -F <內文檔> --title <標題>
|
||||
|
||||
3. 這次確實不是在新增（例如批次改標籤／關票／留言／改 milestone 狀態）
|
||||
3. 這次確實不是在開新票（例如批次改標籤／關票／留言）
|
||||
→ 指令裡加 `ticket-api-ok` 說明理由，留痕放行。
|
||||
|
||||
放行的情況（本閘不管）：純讀取（GET）、對既有票號的留言與標籤與關票、
|
||||
scripts/ticket 自己。
|
||||
放行的情況（本閘不管）：純讀取（GET）、對既有票 /issues/<N>/ 的留言與標籤、scripts/ticket 自己。
|
||||
MSG
|
||||
} >&2
|
||||
exit 2
|
||||
|
||||
Executable
+96
@@ -0,0 +1,96 @@
|
||||
#!/bin/bash
|
||||
# subagent-first-guard 的測試（inkstone/ISEP#66）
|
||||
#
|
||||
# 補的三個洞：
|
||||
# 洞一：.sh 從沒進過受管副檔名清單 ⇒ 這個 repo 自己的閘（全是 .sh）從沒被這道閘管過。
|
||||
# 洞二：「這個 session 派過一次工」被當永久放行——拿掉，不再是放行條件。
|
||||
# 洞三：「同一 session 只擋一次」讓警報響過一次就對餘生啞掉——改成寬限期，過了再響。
|
||||
#
|
||||
# 判準：派過工不再免死金牌／閘本身（.sh）進受管清單／寬限期內不鬼打牆、過了要再響／
|
||||
# CHILD_SESSION＝subagent 本人放行／測試檔・system-dev wiki 放行／
|
||||
# solo-ok 要非空（寫理由）才放行，單純 touch 不算。
|
||||
cd "$(dirname "$0")/.." || exit 1
|
||||
H=hooks/subagent-first-guard.sh
|
||||
PASS=0; FAIL=0
|
||||
|
||||
run(){ # $1=want_exit $2=file_path $3=sid $4=child(0/1)
|
||||
local want="$1" fp="$2" sid="$3" child="${4:-0}"
|
||||
local payload
|
||||
payload=$(python3 -c 'import json,sys;print(json.dumps({"tool_name":"Edit","tool_input":{"file_path":sys.argv[1]},"session_id":sys.argv[2]}))' "$fp" "$sid")
|
||||
if [ "$child" = "1" ]; then
|
||||
got=$(CLAUDE_CODE_CHILD_SESSION=1 SUBAGENT_GUARD_NAG_TTL="${TTL:-900}" bash -c 'printf "%s" "$1" | bash "$2" >/dev/null 2>&1; echo $?' _ "$payload" "$H")
|
||||
else
|
||||
got=$(env -u CLAUDE_CODE_CHILD_SESSION SUBAGENT_GUARD_NAG_TTL="${TTL:-900}" bash -c 'printf "%s" "$1" | bash "$2" >/dev/null 2>&1; echo $?' _ "$payload" "$H")
|
||||
fi
|
||||
if [ "$got" = "$want" ]; then PASS=$((PASS+1)); printf ' ✅ '; else FAIL=$((FAIL+1)); printf ' ❌ '; fi
|
||||
printf 'want=%s got=%s sid=%s %.70s\n' "$want" "$got" "$sid" "$fp"
|
||||
}
|
||||
|
||||
clean(){ rm -f "/tmp/.subagent-spawned-$1" "/tmp/.solo-ok-$1" "/tmp/.subagent-guard-warned-$1"; }
|
||||
|
||||
R="/Users/youlinhsieh/Documents/tech_projects/InkStoneCo"
|
||||
ISEP="/Users/youlinhsieh/Documents/tech_projects/ISEP"
|
||||
|
||||
echo "── 洞一：閘本身是 .sh，也要被這道閘管（重演 2026-08-27 那次）──"
|
||||
S=t66-hole1-a; clean "$S"
|
||||
run 2 "$R/.claude/hooks/no-ticket-no-dispatch.sh" "$S" 0
|
||||
S=t66-hole1-b; clean "$S"
|
||||
run 2 "$ISEP/hooks/subagent-first-guard.sh" "$S" 0
|
||||
|
||||
echo "── 洞二：派過工不是免死金牌——就算剛派、就算派了很多次，直接手改一樣要擋 ──"
|
||||
S=t66-hole2-a; clean "$S"
|
||||
date +%s > "/tmp/.subagent-spawned-$S" # 剛派過工（此刻）
|
||||
run 2 "$R/.claude/hooks/no-ticket-no-dispatch.sh" "$S" 0
|
||||
S=t66-hole2-b; clean "$S"
|
||||
echo $(( $(date +%s) - 3600 )) > "/tmp/.subagent-spawned-$S" # 一小時前派過（今天真實情境的重演）
|
||||
run 2 "$R/.claude/hooks/no-ticket-no-dispatch.sh" "$S" 0
|
||||
|
||||
echo "── 洞三：警報不能響一次就對餘生啞掉——寬限期內不鬼打牆，過了要再響 ──"
|
||||
S=t66-hole3; clean "$S"; TTL=2
|
||||
run 2 "$R/matrix/arcrun/foo.py" "$S" 0 # 第一次：沒見過 → 擋，順便留下 warned 時戳
|
||||
run 0 "$R/matrix/arcrun/foo.py" "$S" 0 # 馬上重試：寬限期內 → 不鬼打牆，放行
|
||||
sleep 3
|
||||
run 2 "$R/matrix/arcrun/foo.py" "$S" 0 # 寬限期過了 → 再響
|
||||
TTL=900
|
||||
|
||||
echo "── 不該擋：subagent 本人（CHILD_SESSION=1）自己寫它被派來寫的 code ──"
|
||||
S=t66-child; clean "$S"
|
||||
run 0 "$R/.claude/hooks/no-ticket-no-dispatch.sh" "$S" 1
|
||||
run 0 "$R/matrix/arcrun/foo.py" "$S" 1
|
||||
|
||||
echo "── 不該擋：測試檔 ──"
|
||||
S=t66-test; clean "$S"
|
||||
run 0 "$R/matrix/arcrun/foo_test.py" "$S" 0
|
||||
run 0 "$R/matrix/arcrun/foo.test.ts" "$S" 0
|
||||
run 0 "$ISEP/tests/foo.spec.js" "$S" 0
|
||||
|
||||
echo "── 不該擋：system-dev/ 的 wiki（即使副檔名受管）──"
|
||||
S=t66-wiki; clean "$S"
|
||||
run 0 "$R/system-dev/wiki/status.md" "$S" 0
|
||||
run 0 "$R/system-dev/docs/some_script.py" "$S" 0
|
||||
|
||||
echo "── 不該擋：非受管副檔名（一般 .sh 不在 hooks 目錄／.md／.json）──"
|
||||
S=t66-nonguard; clean "$S"
|
||||
run 0 "$R/scripts/deploy.sh" "$S" 0
|
||||
run 0 "$R/README.md" "$S" 0
|
||||
run 0 "$R/package.json" "$S" 0
|
||||
|
||||
echo "── solo-ok：要非空（寫理由）才放行，單純 touch 不算 ──"
|
||||
S=t66-soloempty; clean "$S"
|
||||
touch "/tmp/.solo-ok-$S"
|
||||
run 2 "$R/matrix/arcrun/foo.py" "$S" 0
|
||||
clean "$S"
|
||||
echo "理由：單行修，緊急止血" > "/tmp/.solo-ok-$S"
|
||||
run 0 "$R/matrix/arcrun/foo.py" "$S" 0
|
||||
clean "$S"
|
||||
|
||||
echo "── 真違規不能因為這次改動漏擋：全新 session 直接改一般 code ──"
|
||||
S=t66-fresh; clean "$S"
|
||||
run 2 "$R/matrix/arcrun/graph-executor.ts" "$S" 0
|
||||
|
||||
# 清理
|
||||
for s in t66-hole1-a t66-hole1-b t66-hole2-a t66-hole2-b t66-hole3 t66-child t66-test t66-wiki t66-nonguard t66-soloempty t66-fresh; do clean "$s"; done
|
||||
|
||||
echo
|
||||
echo "$PASS/$((PASS+FAIL)) 通過"
|
||||
[ "$FAIL" -eq 0 ]
|
||||
@@ -1,8 +1,6 @@
|
||||
#!/bin/bash
|
||||
# 開票側門閘的測試（docs/TESTING.md A4）
|
||||
# 判準：4 種該擋、8 種不該擋、1 種有戳記時放行 = 13 條（v1，仍須全過，不能為了
|
||||
# 新案例把舊的改壞）＋ inkstone/ISEP#72 擴大範圍後新增的案例（隱式/小寫 POST、
|
||||
# milestone／label／PR、org 端點、Arcrun#100 重演）。
|
||||
# 判準：4 種該擋、8 種不該擋、1 種有戳記時放行 = 13 條
|
||||
cd "$(dirname "$0")/.." || exit 1
|
||||
H=hooks/ticket-api-bypass-guard.sh
|
||||
PASS=0; FAIL=0
|
||||
@@ -35,53 +33,8 @@ run 0 'curl -s "$API/repos/inkstone/Arcrun/issues?state=open&limit=100"'
|
||||
echo "── 有新鮮戳記時放行 ──"
|
||||
python3 -c "import json,time;json.dump({'at':time.time(),'n':0,'top':[]},open('/tmp/.ticket-where-ok','w'))"
|
||||
run 0 'curl -X POST https://git.uncle6.me/api/v1/repos/inkstone/ISEP/issues'
|
||||
|
||||
rm -f /tmp/.ticket-where-ok
|
||||
|
||||
echo
|
||||
echo "── ISEP#72：2026-08-27 實際撞到的繞法（v1 grep -qw POST 漏掉的），該擋 ──"
|
||||
run 2 'url = "https://git.uncle6.me/api/v1/repos/inkstone/ISEP/issues"; req = urllib.request.Request(url, data=json.dumps(payload).encode(), headers=h); urllib.request.urlopen(req)'
|
||||
run 2 'python3 -c "requests.post(f\"{API}/repos/{REPO}/issues\", json={\"title\":\"x\"})"'
|
||||
|
||||
echo
|
||||
echo "── ISEP#72：範圍擴大到 milestone／label／PR，該擋 ──"
|
||||
run 2 'curl -X POST https://git.uncle6.me/api/v1/repos/inkstone/ISEP/milestones -d @m.json'
|
||||
run 2 'curl -X POST https://git.uncle6.me/api/v1/repos/inkstone/ISEP/labels -d @l.json'
|
||||
run 2 'curl -X POST https://git.uncle6.me/api/v1/repos/inkstone/ISEP/pulls -d @p.json'
|
||||
run 2 'curl -X POST https://git.uncle6.me/api/v1/orgs/inkstone/labels -d @l.json'
|
||||
|
||||
echo
|
||||
echo "── ISEP#72：帶 ID 的 milestone／label／PR 子路徑，不該擋（改狀態／合併，不是新增）──"
|
||||
run 0 'curl -X PATCH https://git.uncle6.me/api/v1/repos/inkstone/ISEP/milestones/3 -d @m.json'
|
||||
run 0 'curl -X PATCH https://git.uncle6.me/api/v1/repos/inkstone/ISEP/labels/9 -d @l.json'
|
||||
run 0 'curl -X POST https://git.uncle6.me/api/v1/repos/inkstone/ISEP/pulls/12/merge'
|
||||
|
||||
echo
|
||||
echo "── ISEP#72：有戳記時，milestone／label／PR 也放行（不是只有 issues）──"
|
||||
python3 -c "import json,time;json.dump({'at':time.time(),'n':0,'top':[]},open('/tmp/.ticket-where-ok','w'))"
|
||||
run 0 'curl -X POST https://git.uncle6.me/api/v1/repos/inkstone/ISEP/milestones -d @m.json'
|
||||
rm -f /tmp/.ticket-where-ok
|
||||
|
||||
echo
|
||||
echo "── ISEP#72：Arcrun#100 重演——標題撞同主題舊票，擋下來還要點名 ──"
|
||||
echo " （這條打真實 Gitea 網路；離線環境會印 SKIP，不算失敗。標題故意用"
|
||||
echo " 裸引號的 python dict 寫法，跟 2026-08-27 那 13 張票實際的寫法一致——"
|
||||
echo " curl -d 那種「JSON 被跳脫成字串塞進另一層引號」的寫法，本閘的猜題功能"
|
||||
echo " 刻意不支援，見 hook 檔頭「只認雙引號」那段註解，訊息裡不會列候選舊票，"
|
||||
echo " 但擋下來這件事不受影響，另有獨立案例覆蓋。）"
|
||||
if git remote -v 2>/dev/null | grep 'git\.uncle6\.me' | grep -q '@'; then
|
||||
OUT=$(printf '%s' "{\"tool_name\":\"Bash\",\"tool_input\":{\"command\":$(python3 -c 'import json,sys;print(json.dumps(sys.argv[1]))' 'req("POST", f"{API}/repos/{REPO}/issues", {"title":"總圖說我一條關聯都沒有，三元組 graph 全部消失"})')}}" \
|
||||
| bash "$H" 2>&1 >/dev/null)
|
||||
RC=$?
|
||||
if [ "$RC" = 2 ] && printf '%s' "$OUT" | grep -q 'Arcrun#100'; then
|
||||
PASS=$((PASS+1)); echo " ✅ 擋下來（rc=2）且點名 Arcrun#100"
|
||||
else
|
||||
FAIL=$((FAIL+1)); echo " ❌ rc=$RC，訊息裡有沒有 Arcrun#100："; printf '%s\n' "$OUT" | grep -q 'Arcrun#100' && echo "有" || echo "沒有"
|
||||
printf '%s\n' "$OUT"
|
||||
fi
|
||||
else
|
||||
echo " ⏭️ SKIP（這台機器的 git remote 沒帶 git.uncle6.me 的憑證，連不上就不算數）"
|
||||
fi
|
||||
|
||||
[ -n "$SAVED" ] && printf '%s' "$SAVED" > /tmp/.ticket-where-ok
|
||||
echo
|
||||
echo "$PASS/$((PASS+FAIL)) 通過"
|
||||
|
||||
Reference in New Issue
Block a user