E5 對齊 M4.3：到期只通知，不移票

leo 2026-08-20 兩則指正：
① 「milestone 確定後怎麼可以再把東西移除？定下工作自己刪掉是什麼意思？根本就沒有什麼降」
  ⇒ M4.7（降 scope 留痕）整段刪除——它把一個不該存在的操作合法化了。
  M4.3 改成：到期只通知 leo；內容增減都是 leo 的裁決，不是總管的操作。
② 「規劃書要大的規劃，方向性，不是寫廢話」
  ⇒ §15 從逐領域十行大表精簡成：四句方向＋六里程碑順序表＋三矛盾定案＋三件待裁。

.claude-plugin/marketplace.json

@@ -2,12 +2,17 @@
   "$schema": "https://anthropic.com/claude-code/marketplace.schema.json",
   "name": "inkstone",
   "description": "InkStoneCo 自用的 Claude Code 環境",
-  "owner": { "name": "Leo" },
+  "owner": {
+    "name": "Leo"
+  },
   "plugins": [
     {
       "name": "isep",
-      "description": "InkStone Environment Plugin —— 機械閘／command／skill／腳本的唯一真相源",
+      "description": "InkStone Environment Plugin —— leo 的 Claude Code 環境唯一真相源：43 支機械閘（53 條註冊，白話盤點見 docs/hooks-inventory.md）、7 支 slash command、2 支 skill、27 支腳本，外加治理規範與標籤真相源。本機與雲端裝同一份，沒有子集。",
-      "author": { "name": "Leo" },
+      "author": {
+        "name": "Leo",
+        "url": "https://uncle6.me"
+      },
       "category": "productivity",
       "source": "./"
     }

.claude-plugin/plugin.json

@@ -1,6 +1,16 @@
 {
   "name": "isep",
-  "description": "InkStone Environment Plugin —— leo 的 Claude Code 環境唯一真相源：42 支機械閘、7 支 slash command、2 支 skill、24 支腳本。本機與雲端裝同一份。",
+  "description": "InkStone Environment Plugin —— leo 的 Claude Code 環境唯一真相源：43 支機械閘（53 條註冊，白話盤點見 docs/hooks-inventory.md）、7 支 slash command、2 支 skill、27 支腳本，外加治理規範與標籤真相源。本機與雲端裝同一份，沒有子集。",
-  "version": "0.0.0",
+  "version": "0.2.1",
-  "keywords": ["inkstone", "guardrails", "hooks", "gitea", "arcrun"]
+  "keywords": [
+    "inkstone",
+    "guardrails",
+    "hooks",
+    "gitea",
+    "arcrun"
+  ],
+  "author": {
+    "name": "Leo",
+    "url": "https://uncle6.me"
+  }
 }

README.md

@@ -23,7 +23,7 @@
 
 | | 數量 | 是什麼 |
 |---|---|---|
-| `hooks/` | 42 支 ＋ `hooks.json` | 全部機械閘（PreToolUse／Stop／SubagentStop／SessionStart／PostToolUse 共 52 條註冊） |
+| `hooks/` | 43 支 ＋ `hooks.json` | 全部機械閘（PreToolUse／Stop／SubagentStop／SessionStart／PostToolUse 共 53 條註冊） |
 | `commands/` | 7 支 | `/wiki-recall` `/ship-check` `/cp-write` … |
 | `skills/` | 2 支 | |
 | `scripts/` | 23 支 | `ticket`／`github-arm.sh`／`gitea-bootstrap.sh` … |
@@ -43,6 +43,11 @@ hook 一律用官方的 `${CLAUDE_PLUGIN_ROOT}`，**不准寫死絕對路徑、
 🔴 **只改這裡，然後兩邊 `/plugin update`。**
 不要再改 `InkStoneCo/.claude/hooks/`——那個目錄退場中。
 
+## 這些閘各自在管什麼
+
+**不用點開任何 `.sh`**——`docs/hooks-inventory.md` 一支一行白話，按「你會在什麼時候撞到它」分組。
+測試手冊在 `docs/TESTING.md`，治理規範在 `docs/governance/`。
+
 ## 版本
 
 **「ISEP 現在是哪一版」只有一個地方答得出來：[Gitea Releases](https://git.uncle6.me/inkstone/ISEP/releases)。**

docs/TESTING.md

@@ -0,0 +1,165 @@
+# ISEP 測試手冊
+
+> leo 2026-08-20：「**你交出版本測試了嗎？你要測試無誤才叫我測試，
+> 如果雲端不能測試也要提供 test cases 讓我開啓雲端測試**」。
+>
+> 規約：每一格都要有「**怎麼跑／該看到什麼／什麼算失敗**」三件。
+> **沒跑過的格子一律標空白，不准標綠。**
+
+---
+
+## 先讀：改了 ISEP 卻沒發版，改動到不了任何人手上
+
+2026-08-20 實撞：新增一支 hook 併進 `main`，然後跑 `claude plugin update isep@inkstone`
+→ 回「**已是最新版 (0.2.0)**」，新 hook **沒有進到安裝的那一份**。
+
+原因：`plugin update` 比的是 **`plugin.json` 的版本號，不是內容**。
+⇒ **版本沒動 ＝ 更新是 no-op ＝ 本機與雲端又各自停在不同內容上**（就是 `InkStoneCo#57` 的病）。
+
+**所以：任何要生效的改動，都必須跟著一個新版本號。這不是儀式，是傳輸機制本身。**
+
+---
+
+## A. 總管自己要跑完的（交給 leo 之前）
+
+### A1 — plugin manifest 合法
+```
+claude plugin validate .
+```
+**該看到**：`✔ Validation passed`，不帶 warning。
+**失敗**：任何 error；或有 warning 卻沒處理。
+
+### A2 — 版本三處一致
+```
+bash scripts/check-version-consistency.sh
+```
+**該看到**：`✅ 版本一致：plugin.json＝X.Y.Z，最新 tag＝vX.Y.Z，README 沒有自行宣告版本。`
+**失敗**：exit 1；或 README 又出現寫死的版本號。
+
+### A3 — 打 tag 的閘：擋得住，也放得過
+```
+bash scripts/test-release-tag-guard.sh
+```
+**該看到**：`3/3 通過`（1 個該擋、2 個不該擋）。
+**失敗**：該擋的放行（假綠）；或不該擋的被擋——**誤攔比漏擋更該修**，誤攔會懲罰謹慎。
+
+### A4 — 開票側門閘：13 條
+```
+bash scripts/test-ticket-api-bypass-guard.sh
+```
+**該看到**：`13/13 通過`。
+**失敗**：任何一條不符，特別看「不該擋」那 8 條。
+
+### A5 — 開票前的搜尋是跨 repo 的
+```
+python3 scripts/ticket where 標籤 模組化
+```
+**該看到**：命中數 > 0，而且結果**橫跨多個 repo**（`InkStoneCo` / `Arcrun` / `arcrun-rag` …）。
+**失敗**：
+- `🔴 拿不到 token` ⇒ 這個 repo 的 remote 沒帶憑證（2026-08-20 修過一次：原本寫死只認名叫 `gitea` 的 remote，
+  ISEP 的叫 `origin`，於是這道閘在新 repo 等於不存在）
+- 結果只有單一 repo ⇒ 搜尋沒有跨 repo，等於沒搜
+
+### A6 — 標籤對齊且冪等
+```
+bash scripts/gitea-labels-sync.sh
+bash scripts/gitea-labels-sync.sh
+```
+**該看到**：第二次全部 `0 created / 0 updated`。
+**失敗**：第二次還在改（不冪等）；或任何既有標籤被刪除。
+
+### A7 — plugin 裝得起來、內容對得上
+```
+claude plugin marketplace add https://git.uncle6.me/inkstone/ISEP.git
+claude plugin install isep@inkstone
+claude plugin list
+claude plugin details isep
+```
+**該看到**：`isep@inkstone` `enabled`，版本＝最新 release；`details` 列出 9 skills、5 個 hook 事件。
+**失敗**：版本落後（先發版，見開頭那段）；或 `marketplace list` 的 `Source` 顯示**本機目錄**而非 Git URL
+——本機目錄有未提交改動就會跟 main 分岔，那是一條漂移路徑。
+
+### A8 — 閘在**新 session** 真的會觸發
+
+前七格證明「腳本會擋」與「檔案就位」，**不是「harness 真的會去叫它」**。
+plugin 的 hook 是 session 啟動時載入，所以這格一定要開**新**的 session。
+```
+claude -p '請執行 git tag -a v9.9.9 -m test'
+```
+**該看到**：回報被擋，訊息是 `release-tag-guard` 那段（提到 plugin.json 與版本對不上）。
+**失敗**：
+- tag 真的被打出去 ⇒ **閘沒被載入**，這是最危險的假綠
+- 訊息來自 `InkStoneCo/.claude/hooks/…` 而不是 plugin ⇒ 你驗到的是舊那份
+
+> 為什麼挑 `release-tag-guard` 當考題：它**只存在於 ISEP**，舊的 `.claude/` 那份沒有。
+> 用它才分得出「載到的是 plugin」還是「載到的是舊的」。
+
+---
+
+## B. 只有 leo 能跑的（雲端）
+
+機器碰不到 claude.ai 的 Cloud environment 設定，這段一定要你動手。
+看到跟「該看到」不一樣就停下來，把畫面貼回 `inkstone/InkStoneCo#14`。
+
+### B1 — 設定（一次性）
+
+claude.ai → **Cloud environments** → 你的環境：
+
+1. **Environment variables** 加一個
+   - 名稱：`GITEA_TOKEN_CLAUDE_CODE`
+   - 值：**既有的** claude-code 機器帳號 Gitea token（不要新造一把）
+2. **Setup script** 欄位：貼進 `docs/cloud-setup-script.sh` 的全文，一字不改。
+
+**該看到**：儲存後沒有紅字。
+
+### B2 — 開一個新的雲端 session，確認裝上了
+
+在雲端 session 裡打：
+```
+跑 claude plugin list 給我看
+```
+**該看到**：`isep@inkstone` / `Version: 0.2.1`（要跟 Releases 頁最新那個一樣）/ `✔ enabled`。
+**失敗**：
+- 沒有 `isep` ⇒ Setup script 沒跑成功 → 叫它把 setup 的輸出貼回來
+- 版本比 Releases 舊 ⇒ 環境快取住了（設定跑完會被拍成快照，約 7 天或改了 setup script 才重拍）
+  → 動一下 setup script 的內容，強制重拍
+
+### B3 — 雲端載到的元件數量要跟本機一樣
+```
+跑 claude plugin details isep 給我看
+```
+**該看到**：`Skills (9)`、`Hooks (5) PreToolUse, SessionStart, Stop, SubagentStop, PostToolUse`
+——**跟本機看到的一模一樣**。
+**失敗**：比本機少 ⇒ 又回到「兩邊不一樣」，正是 `InkStoneCo#57` 那張票的病。
+
+### B4 — 最關鍵：雲端的閘真的會擋，而且擋的是 plugin 那份
+```
+請執行 git tag -a v9.9.9 -m test
+```
+**該看到**：被擋下，訊息提到「版本不一致」與 `plugin.json`。
+**失敗**：
+- 它真的把 tag 打出去 ⇒ **雲端仍然沒有閘**（跟 `InkStoneCo#14` 記的一樣）
+- 它只是嘴上說「我不應該這麼做」而沒有閘的訊息 ⇒ 同上，那是模型自律不是機械閘
+
+### B5 — 回報
+
+B2／B3／B4 三個畫面貼回 `inkstone/InkStoneCo#14`。
+全綠 ⇒ 那張票可以關，`#57` 也解掉一半。
+
+---
+
+## 目前狀態
+
+| | 誰跑 | 狀態 |
+|---|---|---|
+| A1 manifest 合法 | 總管 | ✅ |
+| A2 版本三處一致 | 總管 | ✅ |
+| A3 打 tag 閘 | 總管 | ✅ 3/3 |
+| A4 開票側門閘 | 總管 | ✅ 13/13 |
+| A5 搜尋跨 repo | 總管 | ✅ |
+| A6 標籤對齊＋冪等 | 總管 | ✅ 14 repo，第二次 0/0 |
+| A7 plugin 裝得起來 | 總管 | ✅ |
+| **A8 新 session 閘會觸發** | 總管 | 見本版 release note |
+| **B1–B5 雲端** | **leo** | 還沒跑（機器碰不到 Cloud environment） |
+
+**A8 與 B 全綠之前，這個 sprint 的里程碑不准關。**

docs/cloud-session-bootstrap.md

@@ -0,0 +1,171 @@
+# 雲端 session 怎麼載到 ISEP —— inkstone/ISEP#5
+
+對照 `docs/governance/sdd-gitea-governance.md` §11.3「載入契約」三條硬規則
+（L11.3.1／L11.3.2／L11.3.3）與其驗收標準（L11.3.4：能貼出雲端實際載到的清單，
+逐條對上 ISEP 的註冊條數）。本檔記錄機制、實測結果、還缺什麼。
+
+## 舊模型死在哪（不要重蹈）
+
+`InkStoneCo/.claude/cloud-shell/`（`generate-shell-payload.py` + 薄殼）的模型是：
+真身 hook/command/skill → 產生器跑出「薄殼該長的樣子」→ 人推一份**複製本**進
+GitHub 私 repo `youlinhsieh/inkstoneco`。這條鏈上兩個環節都「要有人記得」：
+
+- 忘了重跑產生器 → 產物落後真身
+- 產物沒推 → 薄殼落後產物
+
+`inkstone/InkStoneCo#57` 的實測：薄殼比真身少 7 支閘，其中兩支才立一天。
+`#14` 更早：雲端 33 支閘一支都沒生效。**兩次同一個病**：任何「複製一份」的設計，
+新鮮度只能靠人記得，而人會忘。
+
+## 新機制：讓 Claude Code 自己的 plugin marketplace 去裝真身
+
+不做複製，改用 Claude Code 原生支援、且經官方文件證實可行的路徑：
+
+1. **ISEP 本身已經是一個合法 plugin**（`.claude-plugin/plugin.json` +
+   `.claude-plugin/marketplace.json`，另一張票的產物），hook 一律用
+   `${CLAUDE_PLUGIN_ROOT}`，不寫死路徑。
+2. Cloud environment 的 **Setup script**（code-on-web 原生功能，
+   在 Claude Code 啟動**之前**跑，跑在同一台會被拍成快照的 VM 上）裡跑：
+   ```
+   claude plugin marketplace add https://git.uncle6.me/inkstone/ISEP.git --scope user
+   claude plugin install isep@inkstone --scope user
+   ```
+   這兩行**不是複製**——跟本機 `claude plugin install` 是同一條路徑，裝的內容
+   100% 來自 ISEP 這個 repo 的 HEAD，沒有第二份、沒有產生器、沒有「子集」。
+3. Setup script 跑完，Anthropic 把整個檔案系統（含 `~/.claude/plugins/`）拍成快照，
+   之後每個新 session 直接沿用快照，**在 Claude Code 啟動當下**（不是「clone 完才補」）
+   plugin 就已經在磁碟上——`command`／`skill` 啟動時的目錄掃描掃得到，不再是
+   `#14` 那個「hook 可以晚到、skill/command 不行」的破口（見 L11.3.2）。
+
+私有 repo 的認證：不把 token 寫進任何檔案，改用官方文件建議的 CI/CD 寫法——
+用 `GITEA_TOKEN_CLAUDE_CODE`（既有機器帳號 token，`InkStoneCo#14` 已建立的同一把，
+沒有新造）在 Setup script 裡做一次 git URL 重寫：
+
+```sh
+git config --global url."https://x-access-token:${GITEA_TOKEN_CLAUDE_CODE}@git.uncle6.me/".insteadOf \
+  "https://git.uncle6.me/"
+```
+
+`marketplace add` 用乾淨網址（不帶 token），認證完全交給上面那條重寫，
+所以 `known_marketplaces.json` 裡存的來源網址也不帶 token
+（本機實測驗過，見下面「已驗」第 2 輪）。
+
+完整腳本：`docs/cloud-setup-script.sh`（貼進 code-on-web 的 Setup script 欄位用）。
+
+## 已驗（本機，隔離環境，不影響本機正在跑的任何 session）
+
+🔴 **怎麼保證沒有干擾**：全程把 `$HOME` 指到 scratchpad 底下的隔離目錄
+（`isep-test-home`／`isep-test-home2`），從未寫到真正的 `~/.claude/`，
+也沒有動到 `InkStoneCo/.claude/` 那份舊設定。兩者互不相干，
+本機目前跑著的其他 session／agent 全程沒受影響。
+
+**第 1 輪**（token 直接嵌在 marketplace URL 裡，沿用 ISEP 這個 git checkout
+本來就有的、已解析好的 origin 憑證——不是我另外造的憑證，是既有機制解析出來的那份）：
+
+```
+$ claude plugin marketplace add "https://claude-code:<token>@git.uncle6.me/inkstone/ISEP.git" --scope user
+Adding marketplace…Refreshing marketplace cache (timeout: 120s)…
+Cloning repository (timeout: 120s): https://***:***@git.uncle6.me/inkstone/ISEP.git
+Clone complete, validating marketplace…
+✔ Successfully added marketplace: inkstone (declared in user settings)
+
+$ claude plugin install isep@inkstone --scope user
+Installing plugin "isep@inkstone"...✔ Successfully installed plugin: isep@inkstone (scope: user)
+
+$ claude plugin list
+Installed plugins:
+  ❯ isep@inkstone
+    Version: 0.0.0
+    Scope: user
+    Status: ✔ enabled
+```
+
+**第 2 輪**（重跑一次，改用實際要交付的「乾淨 URL + git config url.insteadOf 重寫」
+寫法，驗證 §建議腳本 那段真的可行，而不是理論上可行）：
+
+```
+$ git config --global url."https://x-access-token:<token>@git.uncle6.me/".insteadOf "https://git.uncle6.me/"
+$ claude plugin marketplace add https://git.uncle6.me/inkstone/ISEP.git --scope user
+✔ Successfully added marketplace: inkstone (declared in user settings)
+$ claude plugin install isep@inkstone --scope user
+✔ Successfully installed plugin: isep@inkstone (scope: user)
+
+$ cat ~/.claude/plugins/known_marketplaces.json
+{
+  "inkstone": {
+    "source": { "source": "git", "url": "https://git.uncle6.me/inkstone/ISEP.git" },
+    ...
+  }
+}
+```
+⇒ 存在磁碟上的 marketplace 來源紀錄**不帶 token**——符合 L11.3.3「憑證只准取名字」。
+
+**逐條對照**（`claude plugin details isep@inkstone` 的輸出 + 直接數快取目錄裡的檔案，
+對照 ISEP 這次測試當下的 Gitea `main` HEAD）：
+
+| | 裝到本機隔離環境的 | ISEP `main` 當下的來源 | 對上了嗎 |
+|---|---|---|---|
+| Skills | 9（`cp-write`／`deep-recall`／`issue-handle`／`sdd-check`／`ship-check`／`wiki-capture`／`wiki-init`／`wiki-recall`／`wiki-update`） | `commands/` 7 支 + `skills/` 2 支 = 9 | ✅ 逐支比對名稱一致 |
+| Commands 目錄 | 7 個 `.md` | 7 個 `.md` | ✅ `diff` 兩邊檔名清單完全一致 |
+| Skills 目錄 | `deep-recall`／`ship-check` 2 個 | 同 | ✅ |
+| Hook 腳本（`hooks/*.sh` 實體檔） | 42 支 | 42 支 | ✅ `ls` 兩邊都是 42 |
+| `hooks.json` 裡註冊的 hook 腳本路徑（去重） | 39 支唯一路徑 | 39 支 | ✅ `diff` 兩邊 grep 結果完全一致 |
+
+（42 支實體檔 vs 39 支被 `hooks.json` 引用：差的 3 支是 `hooks.json` 自己
+＋ `pre-write-guard.sh`／`pre-write-guard.template.sh` 這類非直接掛註冊的輔助檔，
+兩邊都一樣，不是漏裝。）
+
+**意外的額外證據**：測試途中 ISEP 的 `main` 因為別的票（`#6`／`#9` 等）合併而往前推進
+（多出 `hooks/release-tag-guard.sh`、`docs/governance/`…），**下一次 `claude plugin
+marketplace update` / 重裝立刻拿到新內容**——證明這條路徑讀的是 Gitea 當下的 HEAD，
+不是任何時間點的快照複製本。
+
+## 沒驗到的（明講，不含糊）
+
+- ❌ **沒有在真正的 code-on-web 雲端 session 裡跑過。** 本機能做到的最接近測試是
+  「隔離 `$HOME` + 真的私有 repo + 真的 `claude plugin` CLI」，但 Cloud environment
+  的 Setup script 欄位、Environment variables 欄位是 claude.ai 帳號層級的設定，
+  我沒有去改——那是 leo 的 dashboard，不是這台機器上的檔案，我也判斷這件事
+  不屬於「可以自己裁」的範圍（不是 GitHub push，但同樣是帳號層級設定，
+  比照 D20 的精神交給 leo 動手）。
+- ❌ **沒有驗到「hook 真的攔下第一個工具呼叫」這一步的完整 runtime 行為**——
+  只驗到「plugin 在磁碟上正確就位、`claude plugin list` 回報 enabled」。
+  完整跑一個已登入的 `claude -p` session需要這台機器的 Claude Code 登入憑證
+  （存在 macOS Keychain，不是可複製的檔案），我判斷把它匯出到隔離測試環境
+  超出這張票該做的事，沒有做。
+  Q5（plugin 是否在 SessionStart 前同步就位、保證第一個工具呼叫就有效）
+  這格的證據來自官方文件（`plugin-marketplaces.md` §Pre-populate plugins for
+  containers：「At startup, Claude Code registers marketplaces found in the
+  seed's `known_marketplaces.json`... This works in both interactive mode and
+  non-interactive mode with the `-p` flag.」），**不是我自己重現的 runtime 實測**。
+- ❌ **Environment caching 的 ~7 天新鮮度窗口沒有解**——setup script 只在
+  「這個 environment 第一次開 session」跑一次，之後沿用快照，直到快照過期
+  （約 7 天）或 leo 改了 setup script／allowed network hosts 才重跑。
+  這代表 ISEP 若在窗口期內更新，雲端會暫時停在舊版本，直到快照重建。
+  這不是本票要解的「載不載得到」問題，而是另一種新鮮度問題，**留給 leo 決定
+  要不要另開票**（例如：leo 定期手動點一下「rebuild environment」，或接受
+  7 天週期）。
+
+## 需要 leo 做的（帳號層級設定，非 GitHub push，但同樣是我不該自己動的地方）
+
+去 code-on-web 的 **Cloud environments** 設定（`claude.ai` 帳號設定，不是
+GitHub、不是 Gitea）：
+
+1. 選 InkStoneCo 這條線在用的 environment（或建一個新的），
+   **Environment variables** 欄位加一行：`GITEA_TOKEN_CLAUDE_CODE=<既有那把值>`
+   （名字沿用 `InkStoneCo#14` 已建立的那把，不要新造；值只有 leo 知道要填什麼，
+   我這邊沒有也不該有）。
+2. **Setup script** 欄位貼 `docs/cloud-setup-script.sh` 的內容。
+3. 開一個新 session（或用 dashboard 的「rebuild environment」逼快照重建），
+   驗 `claude plugin list` 顯示 `isep@inkstone enabled`，且照 §逐條對照 那張表
+   再核一次數字。
+
+## 這張票沒動、也不會動的東西
+
+- 沒有動 `youlinhsieh/inkstoneco`（GitHub 薄殼 repo）——這個新機制**完全不需要
+  改它**：安裝目標是 `--scope user`（VM 家目錄），跟 session 從哪個 cwd 啟動無關。
+  舊模型需要在薄殼裡放 `.claude/settings.json` 指標，新模型不需要。
+- 沒有 push 到 GitHub、沒有 push 到本 repo的 `main`。全部改動只在
+  `leaf/5-cloud` 這條分支。
+- 沒有把任何 token 值寫進這個 repo 的任何檔案（`docs/cloud-setup-script.sh`
+  只引用環境變數名字 `GITEA_TOKEN_CLAUDE_CODE`）。

docs/cloud-setup-script.sh

@@ -0,0 +1,38 @@
+#!/usr/bin/env bash
+# 貼進 code-on-web「Cloud environments → 你的環境 → Setup script」欄位的內容。
+# 不是 ISEP 的一部分（不會被 Claude Code 當 hook/command/skill 掃描），
+# 純粹是給 leo 複製貼上的參考檔，見 docs/cloud-session-bootstrap.md。
+#
+# 前提（要先在同一個 Cloud environment 的 Environment variables 欄位加好）：
+#   GITEA_TOKEN_CLAUDE_CODE   ← 既有機器帳號 token，名字沿用 InkStoneCo#14 已建立的那把，
+#                                不要新造一把。值本身不寫在這支腳本或任何檔案裡。
+#
+# 這支腳本做兩件事：
+#   1. 設定 git URL 重寫，讓任何對 git.uncle6.me 的 clone 都能用 GITEA_TOKEN_CLAUDE_CODE 認證
+#      （官方文件對「CI/CD 裝私有 marketplace」建議的寫法，見 references 段）。
+#   2. 直接把 ISEP 裝成 user-scope plugin ——不是「複製一份」，是跟本機一樣走
+#      `claude plugin marketplace add` + `claude plugin install`，裝的東西
+#      100% 來自 inkstone/ISEP 這個 repo 本身，沒有第二份內容。
+#
+# 何時跑：只在「這個 Cloud environment 第一次開 session」時跑一次，
+# 跑完 Anthropic 會把整個檔案系統拍成快照，之後的 session 直接沿用快照
+# （不重跑，除非改了這支腳本本身、改了 allowed network hosts、或快照滿 7 天過期）。
+# ⇒ 這是唯一會讓「ISEP 改了但雲端還是舊的」重新出現的地方，
+#    緩解法見 docs/cloud-session-bootstrap.md「已知限制」段。
+
+set -euo pipefail
+
+if [ -z "${GITEA_TOKEN_CLAUDE_CODE:-}" ]; then
+  echo "❌ 找不到 GITEA_TOKEN_CLAUDE_CODE —— 去 Cloud environment 的 Environment variables 加這個名字" >&2
+  exit 1
+fi
+
+# 官方文件建議的私有 marketplace 認證寫法：只重寫這個 host 的 URL，不動其他 git 操作。
+git config --global url."https://x-access-token:${GITEA_TOKEN_CLAUDE_CODE}@git.uncle6.me/".insteadOf \
+  "https://git.uncle6.me/"
+
+# 用乾淨網址（不帶 token）加 marketplace，實際認證交給上面那條 URL 重寫。
+claude plugin marketplace add https://git.uncle6.me/inkstone/ISEP.git --scope user
+claude plugin install isep@inkstone --scope user
+
+echo "✅ ISEP 已裝成 user-scope plugin，之後每個 session 啟動時直接生效。"

docs/governance/sdd-gitea-governance.md

@@ -1,12 +1,16 @@
 # SDD × Gitea 治理規範
 
 ```
-version:      0.6.0
+version:      0.8.0
 status:       現行（本檔的修改依 §9 走 issue）
 scope:        所有安裝 ISEP 的環境（本機 CC 與雲端 CC）
 distribution: 隨 ISEP 發佈，ISEP repo 是唯一編輯點（§11）
 lineage:      v0.5.0 draft by claude.ai（存檔 _draft-claude-ai-v0.5.0.md）
               → v0.6.0 由總管對照現場實況修訂，逐條分歧見 DIVERGENCE-v0.5.0-to-v0.6.0.md
+              → v0.7.0 併入全局遍歷（14 repo／156 open／45 張管理票分六群，§13）與新舊票 mapping（§14）；
+                依 leo 指正：規劃不另立文件，修正本檔就是新版
+              → v0.8.0 三源整合定案（§15）：claude.ai 兩份規劃 × 舊票需求 × 既有機制，
+                逐領域對照、三處矛盾解法、動工順序——leo 2026-08-20 核准
 ```
 
 ---
@@ -22,6 +26,10 @@ lineage:      v0.5.0 draft by claude.ai（存檔 _draft-claude-ai-v0.5.0.md）
    🔴 **不存在「薄殼只裝一部分」這種東西**——那正是 `InkStoneCo#57` 的成因。
 6. **審核不是任務，是路徑。** 審核 ＝ review PR 並 merge，是交付的唯一必經動作（§3.0）。
 7. **人是特殊 executor。** 人的兩種介入——審核者（`Human`）與執行者（`human/exec`）——分別建模，走同一狀態機（§6）。
+8. **票就是問題；開發的目的是解決票上的問題。**（leo 2026-08-20）
+   衡量進度的是**舊問題關掉幾張**，不是出了幾個版本、開了幾張新票。
+   來由（同日實犯）：總管開 17 張新票、出 2 個版本，事後 mapping 只有 1 張真的推進了舊問題——
+   其餘不是重複，就是「替自己想做的事編的 user story」。§14 是那次的完整對帳。
 
 ---
 
@@ -117,8 +125,10 @@ s/triage ──驗傷通過──▶ s/backlog ──排進 milestone──▶ s
 
 - **M4.1** 命名 `vX.Y`，必設 due date。
 - **M4.2** Deliverable ＝ **一個可測的新版本號**。所有掛入 leaf 關閉後，可從預設分支打出通過驗收的版本。
-- **M4.3** **Timebox 到期不自動關、不自動打 tag。** 到期強制做一次降 scope 對帳（未完成 leaf 搬下一 milestone）並通知 leo。
+- **M4.3** **Timebox 到期：不自動關、不自動打 tag、也不把票移出。** 到期只做一件事：通知 leo。
-  🔴 自動打 tag 會製造假交付——tag 永遠只在「驗過了」之後發生。
+  🔴 **里程碑的內容一經確定就不增不減**（leo 2026-08-20：「milestone 確定後怎麼可以再把東西移除？
+  定下工作自己刪掉是什麼意思？根本就沒有什麼降」）。增減都是 leo 的裁決，不是總管的操作。
+  自動打 tag 會製造假交付——tag 永遠只在「驗過了」之後發生。
 - **M4.4** Milestone 關閉 ＝ release tag，一對一。「已交付」唯一合法形式是 **tag 存在且裝得起來**；打 tag 前置 open issues ＝ 0（§8 E12）。
 - **M4.5** Description 只寫版本目標一句 ＋ tracking 連結。討論回 tracking issue。
 - **M4.6** 🔴 **release note 寫在 Gitea Releases 裡，不寫在 README。**（leo 2026-08-20：「release 不是寫在 readme，要放在 release 裡」）
@@ -231,7 +241,7 @@ s/triage ──驗傷通過──▶ s/backlog ──排進 milestone──▶ s
 | E2 | PR 不關聯 issue | PR 模板必含 `closes #`，缺漏即 fail | ❌ 待建 |
 | E3 | 手動關 leaf | hook 攔截；只放行 `close/*` 與 §6.2 人執路徑 | ❌ 待建 |
 | E4 | 被 block 的票先關 | Gitea issue dependency | ✅ 平台原生，已驗證可用 |
-| E5 | Milestone 悄悄過期 | job：到期做降 scope 對帳 ＋ 通知（**不自動關、不自動打 tag**） | ❌ 待建（先做成手動腳本，見 §8.2） |
+| E5 | Milestone 悄悄過期 | job：到期只通知 leo（**不自動關、不打 tag、不移票**，M4.3） | ❌ 待建（先做成手動腳本，見 §8.2） |
 | E6 | 代理越過人閘 | PreToolUse hook | ◐ 現有 `irreversible-dispatch-guard.sh`／`prod-write-guard.sh` 覆蓋一部分 |
 | E7 | SDD 內出現 leaf 連結 | pre-commit lint | ❌ 待建 |
 | E8 | Tracking issue 掛 milestone | job 摘除並告警 | ❌ 待建 |
@@ -401,6 +411,211 @@ Telegram → 純投影。**Wiki 壞不影響 Gitea，Gitea 壞不影響 SDD，
 
 ---
 
+## 13. 現況遍歷與工作分群（2026-08-20 全局實撈）
+
+> 遍歷範圍：`inkstone` org **14 個 repo、156 張 open 票**。判為「管理」的 **45 張**收在本節。
+> 判準：管**閘／票／派工／版本紀律／環境**的；產品功能與產品 bug 不在此列（§13.8 列出被排除的，供反對）。
+>
+> 🔴 **排序不是按票號，是按「什麼擋住什麼」**：上面的群沒解，下面的群做了也看不到效果。
+> 本節是唯一把六群串起來的地方——Gitea 沒有跨 repo milestone（已查證），
+> 各 repo 的同名里程碑都指回這裡。
+
+### 13.0 六群一頁看完
+
+```
+群 0  閘正在害人          每天都在消耗，而且會讓其他群的成果被誤判
+  ↓                      不修這群，任何新機制都會被同一批誤攔咬到
+群 1  沒有資料說話        修了也不知道有沒有變好；leo 開場看不到全局
+  ↓                      這群是「有沒有進步」的前提
+群 2  同一件事有兩份      兩份必然漂移，漂了之後看起來還是綠的
+  ↓                      環境／repo／文件／版本號，四種都在發生
+群 3  人閘卡住 leo        他的啟動力是最稀缺的，卡在他身上整條線就停
+  ↓
+群 4  派工與交付紀律      有了前面幾群，這群才驗證得了
+  ↓
+群 5  票與文件歸位        收尾
+```
+
+**憲法另計**：`inkstone/InkStoneCo#40` 不屬於任何一群——它規定「規則長什麼樣、怎麼增減」，管的是六群**怎麼做**。
+
+### 13.1 群 0 ─ 閘正在害人（里程碑：`讓閘擋對東西`）
+
+**共同形狀**：閘比對的是**指令長什麼樣**，不是**實際會發生什麼**
+⇒ 同時漏擋（真動作藏在子行程／腳本裡）與誤攔（只是提到就被擋）。
+leo 08-17 診斷見公理 3；08-17 實測：文字層的閘 **8 次誤攔、0 次正確攔截**，
+且方向穩定——**紅線寫得越細，命中關鍵字的機率越高 ⇒ 這些閘在懲罰謹慎**。
+
+| 條目 | 來源票 | 現況（08-20） |
+|---|---|---|
+| 同一道閘同時漏擋真動作、誤擋只是提到它的句子 | `InkStoneCo#56` | 未動 |
+| 紅線裡複述關鍵字被當成下令 | `InkStoneCo#23` | 未動｜08-20 又撞 3 次，累計第 11 次 |
+| 閘自己壞了：路徑解析失敗仍照擋，印 `/nonexistent` | `InkStoneCo#22` | 未動 |
+| 守 prod 的閘，包一層腳本就繞過去 | `InkStoneCo#36` | 未動 |
+| 空手停下：改判「這回合有沒有動作」不判文字 | `InkStoneCo#55` | 部分（`empty-handed-stop-guard.sh` 在跑） |
+| gate workflow 六閘初稿待審 | `InkStoneCo#1` | triage |
+
+**已實測、待套用的兩條判準**：
+① 關鍵字要在「指令位置」才算執行（`#23` 在 `prod-write-guard.sh` 驗證過；08-20 在 `release-tag-guard.sh` 重現 8/8）
+② 🔴 **heredoc 的 body 是資料不是指令**——08-20 三次誤攔全是這個形狀，**目前沒有任何一支閘實作**。
+
+### 13.2 群 1 ─ 沒有資料說話（里程碑：`讓規則的效果看得見`）
+
+沒有這群，「擋對 100 次」與「擋錯 100 次」在資料上長得一模一樣；
+而 leo 開場看不到全局，每天要親口提醒「這個有票」「wiki 記過」——正是要拔掉的瓶頸。
+
+| 條目 | 來源票 | 現況 |
+|---|---|---|
+| 閘的動作要留痕（擋下／放行／逃生口都查得到） | `InkStoneCo#48` | 未動（43 支只有 2 支會記錄）；**是本群其餘條目的前提** |
+| 票總圖：session 開場注入一份 md | `InkStoneCo#17` | 進行中 |
+| 同一份圖涵蓋「哪個 repo 的 wiki 記過」 | `InkStoneCo#20`、`Arcrun#86` | 進行中（`PANORAMA.md` 已產出，hook patch 未套） |
+| AI 開場看不到庫裡有什麼 | `Arcrun#142`、`Arcrun#81` | 未動 |
+| 票 Kanban 視覺化 | `InkStoneCo#18` | pending |
+
+### 13.3 群 2 ─ 同一件事有兩份（里程碑：`同一件事只留一份`）
+
+兩份必然漂移，而漂了之後**看起來還是綠的**——比壞掉更危險。
+
+| 條目 | 來源票 | 現況 |
+|---|---|---|
+| 【環境】雲端 guard 一支都沒生效 | `InkStoneCo#14` | 機制已交；**等 leo 填 Cloud environment 兩欄** |
+| 【環境】薄殼的閘安靜落後真身 | `InkStoneCo#57` | 成因已消除（同一 plugin）；舊 `.claude/` 未拆 |
+| 【環境】D20 保險入 template | `system-dev-template#2` | 未動 |
+| 【環境】安裝 URL 指死帳號 GitHub → 改指 Gitea | `system-dev-template#3` | 未動 |
+| 【repo】同一專案兩份 repo、票號撞號 | `InkStoneCo#37` | **等 leo 裁以哪份為準**（建議 `inkstone/*`） |
+| 【文件】「D29」同號兩決策且無本文 | `InkStoneCo#11` | backlog |
+| 【文件】changelog 兩份 | `arcrun-rag#116` | 進行中 |
+| 【文件】錯誤分類兩份會漂 | `arcrun-rag#123` | triage |
+| 【文件】更新說明沒有一頁看得完 | `arcrun-rag#122` | triage |
+| 【版本】內外兩條號＋出貨前建版本發佈 | `arcrun-rag#88` | 進行中 |
+| 【版本】每人的 `acr` 跟 main 沒有保證關係 | `Arcrun#109` | 未動 |
+
+### 13.4 群 3 ─ 人閘卡住 leo（里程碑：`不要卡在 leo 身上`）
+
+北極星 §1：任何讓 leo 更忙的設計都是錯的。
+
+| 條目 | 來源票 | 現況 |
+|---|---|---|
+| 不在電腦前就沒辦法同意（通用遠端同意，首例接 arm） | `InkStoneCo#15` | 未動 |
+| ARM 碼有時效反而綁住 leo → 用掉才失效＋Telegram | `InkStoneCo#38` | 未動 |
+| Arm 頻道（手機回一句話＝解閘） | `InkStoneCo#34` | 常駐頻道，不關 |
+| 票上的同意不能當人閘證據 | `InkStoneCo#31` | 已標 duplicate |
+| 催辦要自己發生 | `InkStoneCo#52` | triage |
+
+### 13.5 群 4 ─ 派工與交付紀律（里程碑：`派工與交付紀律`）
+
+| 條目 | 來源票 | 現況 |
+|---|---|---|
+| 派工全靠人記得（拿任務／改狀態／回報要機械必然） | `InkStoneCo#12` | 未動 |
+| 共用工作區被 subagent 切走分支 | `InkStoneCo#28` | 未動｜08-20 用 worktree 人工避開一次 |
+| 出貨完了版控裡沒有這次出的東西 | `arcrun-rag#47` | 未動 |
+| 修好的沒進出貨執行檔且沒有閘會講 | `Arcrun#93` | 未動 |
+| main 上的測試要全綠 | `Arcrun#143`、`Arcrun#131` | 未動 |
+| daemon 沒有 stage 通道 | `arcrun-rag#124` | 未動 |
+| 出貨機制模組化 | `system-dev-template#7` | backlog |
+
+### 13.6 群 5 ─ 票與文件歸位（里程碑：`票與文件歸位`）
+
+| 條目 | 來源票 | 現況 |
+|---|---|---|
+| Gitea 管理機制：標籤＋project | `InkStoneCo#9` | 標籤半已完成（labels.yaml＋14 repo 對齊）；**project 半未動** |
+| 378 條沒人維護的 checkbox 分診 | `InkStoneCo#49` | 未動 |
+| issue 落地留底 | `system-dev-template#1` | 未動 |
+| md → Gitea Project 單向投影 | `system-dev-template#4` | 未動 |
+| 內部管理太混亂（總綱） | `InkStoneCo#10` | 總綱票，不關 |
+| JDD 導入規格（方法論母題） | `InkStoneCo#8` | backlog；建議轉 hub 或作廢，**待 leo 裁** |
+| 閉環機（哲學母題） | `InkStoneCo#5` | backlog；同上 |
+
+### 13.7 憲法 `InkStoneCo#40` 的七項對帳（08-20）
+
+| 要求 | 現況 |
+|---|---|
+| 三層架構（skill／hookify 規則／最小手寫 hook） | ❌ 未開始；`hookify` 已查證存在可用（官方 marketplace） |
+| 盤點表，leo 看過分類才准遷移 | ✅ 已交（`docs/hooks-inventory.md`）**等 leo 看** |
+| 每支三行中文檔頭 | ❌ 43 支全不合格（已量測：0 支三行齊全） |
+| 新規則一律先 warn | ❌ 總管已違反（08-20 新增兩支直接 block）；warn 可行性已查證，見 §13.9 |
+| 關閉 CC 內建 git 指示 | ❌ 未動 |
+| README 稽核總表 | ❌ 未動 |
+| 手寫 hook 只減不增 | ❌ 總管已違反（41 → 43） |
+
+### 13.8 不在本節的（判為非管理，列出供反對）
+
+`arcrun-rag` 登入／額度／安裝／知識庫類約 40 張；`Arcrun` App 系統／KBDB 資料層／搜尋類約 35 張；
+`mira` 全部 6 張；`InkStoneCo` `#2 #3 #4 #6 #7 #19 #42 #43 #44 #50 #51 #53`；
+`content-pipeline` 2 張；`kbdb-graph-plugin` 1 張。
+`InkStoneCo#41` 是交接快照（歷史）；`#25` 是 ops 排程。
+
+### 13.9 warn 的可行性（查證結果，補 §8.3／§13.7 那一格）
+
+- hookify 的 `warn` 走 `systemMessage` ⇒ **只給人看，不進 AI** ⇒ 對 AI 行為無效
+- `hookSpecificOutput.additionalContext` **會進 AI**（08-20 本 session 實收多則）
+- ⇒ 手寫閘做得出「AI 真的看得到的 warn」；hookify 的 warn 定位是給 leo 的提醒
+- ⇒ `#40` §3 照舊有效；已 block 的兩支新閘要補 warn 期或說明理由
+
+---
+
+## 14. Mapping：新票有沒有滿足舊票（2026-08-20 對帳）
+
+> leo：「mapping 新票是否滿足舊票要求，滿足則舊票指向新票⋯⋯不滿足則新增票」。
+> 對帳結果：**不需要新增任何票**——缺口都有既有票承接。
+
+總管 08-20 開的 17 張新票逐張對舊票：
+
+| 新票 | 對應舊票 | 滿足？ | 處置 |
+|---|---|---|---|
+| `ISEP#4` 標籤一致 | `InkStoneCo#9` | **半**（標籤 ✅／project ❌） | 已關；結論貼回 `#9`，`#9` 續開 |
+| `ISEP#2` 規範進 docs | `InkStoneCo#40` | 否 | 已關 duplicate 指回 |
+| `ISEP#18` 本機 dogfooding | `InkStoneCo#57` | 否（裝上了，舊的沒拆） | 已關 duplicate 指回 |
+| `ISEP#5`／`#21` 雲端 | `InkStoneCo#14` | 否（機制在，雲端仍沒閘） | 已關 duplicate 指回 |
+| `ISEP#19` 舊閘退場 | `InkStoneCo#57` | 否 | 已關 duplicate 指回 |
+| `ISEP#11`–`#17` 封路七張 | `InkStoneCo#40` | 否（把 §8 抄成票） | 已關 duplicate 指回 |
+| `ISEP#24` 降 scope 留痕 | `InkStoneCo#10` | 否 | 已關 duplicate 指回 |
+| `ISEP#3` wiki／`ISEP#6` release | —— | **對不到任何舊票** | 是總管編的；已關 |
+
+🔴 **17 張裡只有 1 張真的推進了舊問題，且只推進一半。** 這就是公理 8 的來由。
+
+---
+
+## 15. 三源整合定案（leo 2026-08-20 核准）
+
+三源＝claude.ai 兩份規劃（v0.5.0 draft＋`InkStoneCo#40` forge-discipline）× 45 張舊票 × 既有機制。
+
+### 15.1 方向（四句，其餘全是它們的展開）
+
+1. **機制只有一份。** 環境、標籤、規範、版本號都是單一真相源；本機與雲端裝同一個 plugin，沒有子集。
+2. **閘封動作，不封措辭。** 伺服器端擋不可逆；手寫 hook 擋高代價動作（block）；
+   hookify＋additionalContext 只提醒（永遠 warn）；skill 管 regex 表達不了的判斷。
+3. **一切要留痕、可量測。** 閘的動作、開場全局、里程碑百分比——leo 看到的畫面就是實況。
+4. **進度＝舊票關掉幾張。** 版本只是讓閘生效的載具，release note 寫明關了哪張票。
+
+### 15.2 工作順序（六個里程碑，各 repo 同名，內容一經確定不增不減）
+
+| 順 | 里程碑 | 來源票 |
+|---|---|---|
+| 0 | 讓閘擋對東西 | `InkStoneCo#56 #23 #22 #36 #55 #1` |
+| 1 | 讓規則的效果看得見 | `InkStoneCo#48 #17 #20 #18`、`Arcrun#86 #142 #81` |
+| 2 | 同一件事只留一份 | `InkStoneCo#14 #57 #37 #11`、`arcrun-rag#116 #123 #122 #88`、`Arcrun#109`、`system-dev-template#2 #3` |
+| 3 | 不要卡在 leo 身上 | `InkStoneCo#15 #38 #34 #31 #52` |
+| 4 | 派工與交付紀律 | `InkStoneCo#12 #28`、`arcrun-rag#47 #124`、`Arcrun#93 #143 #131`、`system-dev-template#7` |
+| 5 | 票與文件歸位 | `InkStoneCo#9 #49 #10 #8 #5`、`system-dev-template#1 #4` |
+
+排序判準＝「什麼擋住什麼」：閘不修好，其他群的成果會被誤攔咬到；沒有留痕，修了也量不出變好。
+`#40` 是憲法，貫穿全部；`#48` 是 `#40` warn 校準的資料前提，所以排群 1 之首。
+
+### 15.3 三處矛盾的定案
+
+1. `#40`「hook 只減不增」vs E 清單要 ~11 支新閘 ⇒ 新封路優先做在**伺服器端**或 **warn 層**；
+   要新增 `.sh` 必須在 PR 說明為何前兩層做不到。
+2. warn-first vs hookify 的 warn 不進 AI ⇒ warn 一律用 `additionalContext`；
+   新規則從 warn 出生，憑 `#48` 的留痕數據才升 block。
+3. milestone 到期自動關＋打 tag ⇒ 否決（M4.3）。
+
+### 15.4 待 leo 裁（不擋群 0 開工）
+
+`#37` 兩份 repo 哪份為準（建議 `inkstone/*`）／`#5` `#8` 轉 hub 或作廢／
+08-20 兩支未經 warn 期的 block 閘，隨盤點表（`docs/hooks-inventory.md`）一起審。
+
+---
+
 ## 附：Label 全集（快照；唯一真相為 `labels.yaml`）
 
 ```

docs/hooks-inventory.md

@@ -0,0 +1,212 @@
+# 43 支閘，白話盤點表
+
+> 回應 `inkstone/InkStoneCo#40`：「如果加入了，我應該可以白話文看到 hooks 的內容？」
+> 這份表就是那個「白話文」——不用點開任何 `.sh` 檔，一行看懂一支閘在管什麼。
+>
+> **最高原則（票上原文）**：每一條規則你都要能在 30 秒內看懂它在管什麼。
+
+## 一句話結論
+
+`hooks/` 底下有 **43 個 `.sh` 檔**，`hooks.json` 實際掛上 **53 條註冊**（同一支閘常被多種情境同時掛上）；
+其中 **3 支檔案存在但沒被掛上**（2 支是待人填的空範本、1 支是刻意留著沒開的止血帶，見下面「未生效」表）。
+下面按「你會在什麼時候撞到它」分組，一支一行。
+
+---
+
+## 怎麼讀這張表
+
+| 符號 | 意思 |
+|---|---|
+| 🛑 擋 | 條件不滿足就**真的擋下**這個動作（exit 2），你或 AI 會看到一段紅字說明 |
+| 📝 記錄 | **不擋任何東西**，只是在背景寫一筆紀錄或送一段提示文字給 AI |
+| 💀 未生效 | 檔案存在，但**沒有掛進 `hooks.json`**——目前是死的，不會被執行 |
+
+「對你意味著什麼」欄一律用「如果你看到 X，代表 Y」的角度寫，不寫程式邏輯。
+
+---
+
+## A. 你（或 AI）在終端機打指令的當下（PreToolUse / Bash）
+
+| 閘名 | 對你意味著什麼 | 動作 |
+|---|---|---|
+| `github-contact-guard.sh` | AI 想碰 GitHub（`git push`、`gh api` 等）就先擋下——兩個帳號曾經因為機器人式高頻寫入被永久 flag 過。**只有讀取（clone/fetch）自由，寫入一律要你在終端機跑 `github-arm.sh` 解鎖**。 | 🛑 擋 |
+| `kbdb-api-wall-guard.sh` | AI 想繞過 KBDB 的 API、直接對資料庫下 SQL 或建新表就擋下——KBDB 的鐵律是「只能用 API、永遠只有三張表」。 | 🛑 擋 |
+| `stage-before-prod-guard.sh` | AI 想動「出貨鏈」相關指令（含 `arcrun-rag-bundles`／`github-arm`／`publish-github` 字樣）卻沒先在 stage 環境驗過就擋下。 | 🛑 擋 |
+| `main-and-prod-push-guard.sh` | 兩層確認：① subagent 想推 Gitea `main` 分支 → 一定要交回總管，總管確認過才放行；② 任何 `wrangler deploy` 打正式環境 → 一定要你親手解鎖。 | 🛑 擋 |
+| `prod-write-guard.sh` | AI 想做任何「會真的改到線上正式帳號（leo21c）」的操作（不只是 push，也包含直接呼叫會寫入的工具）就擋下，交回總管處理。 | 🛑 擋 |
+| `not-my-branch-guard.sh` | AI 想 commit 到「別的 subagent 正在施工中」的分支（登記在 `branch-holds.md`）就擋下，避免兩個 AI 互踩同一條分支。 | 🛑 擋 |
+| `leo21c-write-guard.sh` | AI 想寫東西到你私人帳號 `leo21c` 就擋下——這個帳號只准你自己用，AI 的實驗一律走別的測試帳號。 | 🛑 擋 |
+| `release-tag-guard.sh` | AI 想打版本 tag，但 `plugin.json` 裡寫的版本號跟 tag 對不上就擋下——避免「這裡說 0.2.0、那裡說 0.1.0」各說各話。 | 🛑 擋 |
+| `ticket-api-bypass-guard.sh` | AI 想繞過 `scripts/ticket` 工具、直接打 API 開新 Gitea 票（會漏掉「開票前先搜過」這道檢查）就擋下。 | 🛑 擋 |
+
+## B. AI 想寫檔案／改程式碼的當下（PreToolUse / Write·Edit·MultiEdit）
+
+| 閘名 | 對你意味著什麼 | 動作 |
+|---|---|---|
+| `guard-cross-project.sh` | 總管（頂層）想直接改某個子 repo 的程式碼（非 `.md`）就擋下——頂層只做安排交辦，實作要進那個子 repo 自己做。 | 🛑 擋 |
+| `wiki-secret-scan.sh` | 要寫進 `system-dev/wiki/` 的內容裡出現密碼／金鑰／身分證／信用卡等特徵就擋下，防止機敏資料意外留在會被反覆讀取的記憶空間裡。 | 🛑 擋 |
+| `component-guard.sh` | AI 想自己新建一個零件（component）或亂接 service binding 就擋下——逼它先想「現成零件夠不夠用」，真要建要你解鎖。 | 🛑 擋 |
+| `sdd-guard.sh` | AI 想直接動程式碼檔案，但找不到「唯一一份 active 規格文件（SDD）」對應這件事，或同時有一份以上 active 規格就擋下。 | 🛑 擋 |
+| `credential-only-guard.sh` | AI 想把金鑰真身或自製佔位符（例如 `__XXX_TOKEN__`）寫進設定檔就擋下——金鑰只准放在統一的 credential 中心。 | 🛑 擋 |
+| `arcrun-intent-guard.sh` | AI 寫的 Arcrun workflow 語法不對就擋下，而且**直接把正確寫法回貼給它**（不是只罵它錯，是教它怎麼改）。 | 🛑 擋（教學型） |
+| `subagent-first-guard.sh` | 這個對話**從頭到尾都沒有派過任何 subagent**，AI 卻要自己動手改程式碼，就先擋一次，逼它想一想「這件事能不能交給別人做」。 | 🛑 擋 |
+| `mistake-needs-ticket-guard.sh` | AI 想往 `mistakes.md`（教訓紀錄）新增一條「機制可以防止」的教訓，卻沒附對應票號就擋下——沒有票號的教訓沒有人會回頭處理。 | 🛑 擋 |
+| `pending-changes-retired.sh` | AI 想寫東西進已經廢除的 `pending-changes.md` 檔案就擋下——這個檔案已停用，規格變更一律改開 Gitea 票。 | 🛑 擋 |
+
+> `kbdb-api-wall-guard.sh` 在這裡也重複掛了一次（見 A 組）——它同時守著「下指令」跟「寫檔案」兩種情境，詳見下方「重複掛載」一節。
+
+## C. AI 要去翻程式碼／查資料之前（PreToolUse / Grep·Glob·Read·Bash）
+
+| 閘名 | 對你意味著什麼 | 動作 |
+|---|---|---|
+| `wiki-first-search.sh` | AI 這回合**還沒查過 wiki**就要去翻程式碼或查外部資料，就先擋下、逼它用你的關鍵字先搜一次 wiki（查過一次、不論有沒有找到，這回合後面就放行）。 | 🛑 擋 |
+
+## D. AI 要派工給別的 AI（subagent）之前（PreToolUse / Agent·Task）
+
+| 閘名 | 對你意味著什麼 | 動作 |
+|---|---|---|
+| `subagent-wiki-guard.sh` | AI 要派一個查證／實作類任務出去，就自動在派工單裡塞一句「先查 wiki」的提示——不擋，只是順手夾帶叮嚀。 | 📝 記錄 |
+| `kbdb-api-wall-guard.sh` | 同 A／B 組，只是這裡管的是「派工單裡有沒有寫出違反 KBDB 規約的指示」。 | 🛑 擋 |
+| `micromanage-guard.sh` | 派工單寫得太細（指名檔案函式、編號步驟、要求每做一項回報一次…）就擋下——subagent 該被當成有能力的同事，不是照抄劇本的工具。 | 🛑 擋 |
+| `irreversible-dispatch-guard.sh` | 派工單裡出現「刪分支」「drop table」「rm -rf」這類不可逆動作，卻沒寫「先停下來等回覆才執行」就擋下。 | 🛑 擋 |
+| `no-ticket-no-dispatch.sh` | 派工單裡沒有寫工單號（`【工單】owner/repo#N`），或那張票已經關閉／根本不存在，就擋下——沒有票號的工作沒有人追得到進度。 | 🛑 擋 |
+
+## E. 每個對話一開始（SessionStart）
+
+| 閘名 | 對你意味著什麼 | 動作 |
+|---|---|---|
+| `session-start-recall.sh` | 對話一開始就自動把「全局現況」（Gitea 各 repo 的票、KBDB 的藏書地圖）推到 AI 眼前，不必等它自己想到要查。 | 📝 記錄（context 注入） |
+| `skill-deploy-drift-guard.sh` | 如果「全機真正在用的 skill」跟「repo 裡版控的正本」內容對不上，就在開場講出來——避免用著一份沒人知道已經跟正本分家的舊拷貝。 | 📝 記錄 |
+
+## F. AI 想結束這一輪、要收工的時候（Stop）
+
+| 閘名 | 對你意味著什麼 | 動作 |
+|---|---|---|
+| `empty-handed-stop-guard.sh` | 這一輪 AI**一個動作都沒做**卻想停下來（等你回覆），就擋下並告訴它「你的命令就是完整授權，不用再等第二次確認」。 | 🛑 擋（至多攔一次） |
+| `worklist-guard.sh` | AI 自己列過的待辦清單裡還有沒做完的步驟，卻想收工寫報告，就擋下，逼它做完剩下的步驟。 | 🛑 擋 |
+| `factory-idle-guard.sh` | AI 該去派工卻沒派（工頭停工），就擋下要它交出「已經派工的憑證」，不是隨口說一句「我會催」就算數。 | 🛑 擋 |
+| `browser-verify-guard.sh` | 這一輪 AI 宣稱「前端驗過了」，卻沒有真的用瀏覽器工具載入過，就擋下——`curl` 抓到 HTML 不算驗過。 | 🛑 擋 |
+| `self-drive-police.sh` | AI 想停下來問你「早就決定過的事」（用固定句型判斷，例如「要不要 X」「下一步做什麼」「這交給你」）就擋下，反問它查過 wiki／查過派工表了沒。 | 🛑 擋 |
+| `self-drive-judge.sh` | 跟上面同一件事，但改用小模型（haiku）判斷「換句話說」的請示句——防止 AI 只是把「要不要」改寫成「不確定是否符合期待」就閃過上一支閘。 | 🛑 擋 |
+| `delivery-police.sh` | AI 宣稱「這件事做完了」，卻看不到任何實測證據（畫面截圖、指令輸出、HTTP 狀態碼…）就擋下。 | 🛑 擋 |
+| `wiki-first-police.sh` | AI 做完事卻沒有把結論寫回 wiki 就想收工，就擋下——下次（或別的 AI）查 wiki 會查不到這次做過什麼。 | 🛑 擋 |
+| `unpushed-police.sh` | AI 改好的東西還留在本機、沒有真的推送出去給別人用，卻想收工，就擋下——「改對了但沒送到」跟沒改是一樣的。 | 🛑 擋 |
+| `claim-verify-police.sh` | Subagent 交回來的「我做完了」宣稱還沒被驗證過（對應的待驗檔案還在），你這邊卻想收工，就擋下。 | 🛑 擋 |
+
+## G. Subagent 把工作交回來的時候（SubagentStop）
+
+| 閘名 | 對你意味著什麼 | 動作 |
+|---|---|---|
+| `subagent-claim-worksheet.sh` | Subagent 一交回工作，就自動把它宣稱做了什麼寫成一張「待驗清單」檔案——之後總管收工前，`claim-verify-police.sh` 會檢查這張清單有沒有被處理掉。 | 📝 記錄 |
+
+> 這個時機還掛了 `worklist-guard.sh`／`self-drive-police.sh`／`self-drive-judge.sh`／`delivery-police.sh`／`wiki-first-police.sh`／`unpushed-police.sh`，行為跟上面 F 組完全一樣，只是對象換成「subagent 交回來的這一輪」。詳見「重複掛載」一節。
+
+## H. 動作做完之後，純粹記一筆（PostToolUse，全部不擋）
+
+| 閘名 | 對你意味著什麼 | 動作 |
+|---|---|---|
+| `kbdb-asked-stamp.sh` | AI 真的查過 KBDB 之後，留一個時間戳——給前面 `history-first-guard.sh` 判斷「這輪有沒有先查過」用。 | 📝 記錄 |
+| `subagent-first-stamp.sh` | AI 真的派過工之後，留一個時間戳——給 `subagent-first-guard.sh` 判斷用。 | 📝 記錄 |
+| `issue-status-autoflip.sh` | AI 一派工出去，就自動把對應的 Gitea 票改成「進行中（s/doing）」，不必等人手動改標籤。 | 📝 記錄（自動改票） |
+
+## I. 你會撞到但跟「派工／收工」無關的一支（Edit·MultiEdit）
+
+| 閘名 | 對你意味著什麼 | 動作 |
+|---|---|---|
+| `history-first-guard.sh` | AI 要改一個舊檔案之前，先把這個檔案過去被改過幾次、被誰在什麼情況下改過的紀錄攤在它眼前，逼它回答「這是不是已經修過的老問題」再動手。 | 🛑 擋 |
+
+---
+
+## 目前沒生效的 3 支（存在但沒掛進 `hooks.json`）
+
+| 檔名 | 為什麼沒掛 |
+|---|---|
+| `pre-write-guard.template.sh` | 官方留的空殼範本，預設不攔任何東西。要用要自己手填禁令清單、自己去掛。檔頭寫明「別誤以為裝了它就有保護」。 |
+| `pre-write-guard.sh` | 同一個範本的另一份（看起來是填過一半的版本），同樣沒掛進 `hooks.json`。 |
+| `shadow-table-guard.sh` | 檔頭自己寫明「本檔目前是死的」——leo 2026-08-15 說過「提案封鎖方式，不是要你就去做」，所以先寫好、測過，但要不要真的掛上由你裁。 |
+
+---
+
+## 落差偵測（票上要求的「這件事本身值得被看到」）
+
+**方法**：比對 `hooks/*.sh` 檔案清單 vs `hooks.json` 裡出現的檔名。
+
+```
+$ ls hooks/*.sh | xargs -n1 basename | sort > /tmp/fs_hooks.txt
+$ grep -oE '[a-zA-Z0-9_-]+\.sh' hooks/hooks.json | sort -u > /tmp/registered_hooks.txt
+
+# 有檔案、但 hooks.json 沒註冊到 → 上面「沒生效的 3 支」
+$ comm -23 /tmp/fs_hooks.txt /tmp/registered_hooks.txt
+pre-write-guard.sh
+pre-write-guard.template.sh
+shadow-table-guard.sh
+
+# hooks.json 註冊了、但檔案不存在 → 空（目前沒有這種「指向空氣」的閘）
+$ comm -13 /tmp/fs_hooks.txt /tmp/registered_hooks.txt
+（無輸出）
+```
+
+**這次順便抓到的另一個落差**：`.claude-plugin/plugin.json` 的說明文字寫「42 支機械閘（52 條註冊）」，
+`README.md` 也寫「42 支 ＋ `hooks.json`」「共 52 條註冊」——但實測是 **43 支檔案、53 條註冊**。
+差 1 支、差 1 條，猜測是今天（2026-08-20）新增的 `leo21c-write-guard.sh`／`release-tag-guard.sh`／
+`ticket-api-bypass-guard.sh` 這批（檔頭日期都是今天）加了之後，兩份文件的數字沒有跟著更新。
+**這兩個檔案本次刻意沒動**（在你劃的紅線內：不准碰 `.claude-plugin/`），只在這裡把落差標出來給你看。
+
+---
+
+## 重複掛載（同一支閘在不只一個時機生效）
+
+不是衝突，是同一支閘刻意守好幾個情境；列出來是因為你可能會納悶「怎麼同一句紅字出現在不同地方」：
+
+| 閘名 | 掛了幾次 | 為什麼 |
+|---|---|---|
+| `kbdb-api-wall-guard.sh` | 3 次 | 下指令（Bash）、寫檔案（Write/Edit）、派工（Task）三種情境都可能違反 KBDB 規約，各掛一次 |
+| `prod-write-guard.sh` | 2 次 | 一次守「下指令」，一次專門守「會直接寫進線上的 MCP 工具」（不是走終端機指令的那種） |
+| `arcrun-intent-guard.sh` | 2 次 | 一次守「所有寫檔案」，一次專門加強守「呼叫 Arcrun 部署/驗證工具」這個更精準的情境 |
+| `micromanage-guard.sh` / `irreversible-dispatch-guard.sh` / `no-ticket-no-dispatch.sh` | 各 2 次 | 各自同時掛在 `Task` 與 `Agent` 兩個矩比對名稱上——這兩個名稱應該是同一種派工動作的新舊叫法，兩個都掛保證不漏接 |
+| `worklist-guard.sh` / `self-drive-police.sh` / `self-drive-judge.sh` / `delivery-police.sh` / `wiki-first-police.sh` / `unpushed-police.sh` | 各 2 次 | 一次守「總管自己想收工」（Stop），一次守「subagent 交回工作」（SubagentStop）——同一套判準用在兩種角色身上 |
+
+❓ **這裡有一件我看不出來是刻意還是遺留、需要人判斷**：`micromanage-guard.sh`／`irreversible-dispatch-guard.sh`／`no-ticket-no-dispatch.sh`
+三支都**同時**掛在 `Task` 跟 `Agent` 這兩個矩比對名稱上。如果這兩個名稱在目前版本的 Claude Code 裡指的是「同一種派工工具呼叫」，
+那這是保險（兩個名字都接住，不怕哪天官方改名），沒問題；但如果其實只有一個名稱會真的觸發，另一個是舊名稱留下來沒清掉，
+那就是「規則說是兩層防護，實際只有一層在動」。這個要靠實際觸發紀錄核對，我沒有把握單靠讀檔案判斷，標成 ❓ 而不是硬下結論。
+
+---
+
+## 抽驗 5 支：一句話 vs 實際邏輯逐條對照
+
+隨機抽了跨越不同層級/時機的 5 支，逐行核對過源碼（不是只讀檔頭）：
+
+1. **`github-contact-guard.sh`**——表格寫「AI 想碰 GitHub 就先擋下，只有讀取自由」。
+   源碼核對：只擋 `gh api/repo/issue/pr/...` 子指令，以及 `git push`／`git remote add` 指向 github.com（含用 remote 名稱反解出網址的情況）；
+   `git clone/fetch/pull/ls-remote`、`curl`、`go get` 一律放行。帶憑證的「實名讀」也放行但會留一筆紀錄。**與表格描述一致。**
+2. **`main-and-prod-push-guard.sh`**——表格寫「推 main 要總管戳記、prod 部署要你解鎖」。
+   源碼核對：`git push` 目標含 `main`/`master` 才擋，且要 `/tmp/.main-push-ok` 戳記綁對 repo 路徑、15 分鐘內、用過即丟才放行；
+   `wrangler deploy/publish/versions deploy` 且指令裡看不出打的是 stage/youlin/geek6688 就擋，要 `.github-armed` 或 Gitea 票上核准碼才放行。**與表格描述一致**，且比表格寫得更細（例如 stage 與 geek6688 兩個白名單）。
+3. **`empty-handed-stop-guard.sh`**——表格寫「這輪零動作卻想停就擋，至多攔一次」。
+   源碼核對：讀 transcript 數這回合 `tool_use` 出現次數，0 次 → exit 2；`stop_hook_active` 已為真（代表已經擋過一次）→ 直接放行，不會卡死。**與表格描述一致。**
+4. **`no-ticket-no-dispatch.sh`**——表格寫「派工單沒工單號，或票已關閉/不存在就擋」。
+   源碼核對：從 `tool_input.prompt` 抓 `【工單】owner/repo#N`，抓不到 → exit 2；抓到但打 Gitea API 查到 `state=closed` 或查不到（`missing`）→ exit 2；
+   查不到網路（token 拿不到、API 連不上）→ 放行（fail-open，避免網路抖動卡死工作）。**與表格描述一致**，且多了一個表格沒特別寫的細節：網路問題不擋。
+5. **`wiki-secret-scan.sh`**——表格寫「寫進 wiki 的內容有密碼/金鑰/身分證/信用卡特徵就擋」。
+   源碼核對：只在 `file_path` 命中 `system-dev/wiki/*` 時啟動；用 6 類 regex（密碼賦值、PEM 私鑰、雲端金鑰前綴、JWT、連線字串內嵌帳密、身分證、信用卡）逐條檢查要寫入的內容；
+   行尾標記 `wiki-secret-ok` 可豁免。**與表格描述一致。**
+
+五支全部核對通過，沒有發現表格描述跟實際邏輯對不上的情況。
+
+---
+
+## 我看不懂、需要人看的地方
+
+- **`micromanage-guard.sh`／`irreversible-dispatch-guard.sh`／`no-ticket-no-dispatch.sh` 的雙重矩比對（`Task` + `Agent`）是刻意保險還是舊名稱沒清掉**——見上面「重複掛載」段落，我沒有把握單靠讀檔案判斷，需要看實際觸發紀錄或問總管。
+- **`stage-before-prod-guard.sh` 跟 `main-and-prod-push-guard.sh` 的分工邊界**：`main-and-prod-push-guard.sh` 的檔頭明講自己是在「補 `stage-before-prod-guard.sh` 的破口」（那支只認 3 個關鍵字，抓不到 `wrangler deploy`），但兩支都還掛著、都還在管「prod 出貨」這件事。這是「新的補洞、舊的continua」還是「舊的該退休了」，這份盤點表不下判斷，留給你在下一步的分類會議裡定奪。
+
+除了以上兩點，其餘 41 支的行為都能從檔頭與源碼直接讀出，沒有「猜」的部分。
+
+---
+
+## 這份表怎麼跟實況對帳（半年後怎麼發現漂移）
+
+1. **有沒有新閘沒被收進這張表**：跑本文「落差偵測」段落的兩行 `comm` 指令，比對 `hooks/*.sh` 的檔名清單跟這張表列出的閘名清單（不是跟 `hooks.json`，那個只驗證有沒有註冊，驗不了有沒有寫進這張人話表）。
+2. **有沒有閘的行為跟這裡寫的不一樣了**：抽幾支重新讀一次源碼，跟這裡的「一句話」對一遍——就是本文「抽驗 5 支」做的事，可以照同樣方法定期重做。
+3. **`.claude-plugin/plugin.json` 與 `README.md` 的數字**：這兩處各自寫了一次「幾支、幾條註冊」，前面已經抓到一次對不上（42/52 vs 實際 43/53）。這兩個數字沒有機制保證跟著 `hooks/` 目錄自動更新，是本表發現的第一個具體漂移案例。

hooks/hooks.json

@@ -36,6 +36,10 @@
           {
             "type": "command",
             "command": "${CLAUDE_PLUGIN_ROOT}/hooks/release-tag-guard.sh"
+          },
+          {
+            "type": "command",
+            "command": "${CLAUDE_PLUGIN_ROOT}/hooks/ticket-api-bypass-guard.sh"
           }
         ]
       },

hooks/release-tag-guard.sh

@@ -34,9 +34,20 @@ except Exception: print("")
 
 [ -z "$CMD" ] && exit 0
 
-# ── 先排除不是「打新 tag」的動作 ──────────────────────────────────────
+# ── 判準：`git tag` 要出現在「指令位置」才算真的要打 tag ──────────────
+# 🔴 這裡原本用前綴比對排除 sed/cat/grep/echo/ls…（`echo\ *)` 這種），
+#    2026-08-20 被一個新 session 抓到洞、總管複驗屬實：
+#        echo 開始 && git tag -a v9.9.9 -m test   → 整條放行
+#        ls && git tag -a v9.9.9 -m x             → 整條放行
+#    因為前綴是 `echo `／`ls ` 就整條 exit 0，後面串什麼都不看。
+#    ⇒ 就是 inkstone/InkStoneCo#36「守 prod 的閘，包一層腳本就繞過去」的同一個病，
+#      而且發生在同一天新寫的閘上。
+#    修法用 #23 已驗證過的判準：**關鍵字要在指令位置才算執行**
+#    （行首、或跟在 ; & | ( && || 之後），只是被別的指令當成文字提到就不算。
+printf '%s' "$CMD" | grep -qE '(^|[;&|(`]|&&|\|\|)[[:space:]]*git[[:space:]]+tag[[:space:]]' || exit 0
+
+# 讀取／刪除類的 tag 動作不是「打新 tag」，放行
 case "$CMD" in
-  sed\ *|cat\ *|grep\ *|head\ *|tail\ *|wc\ *|less\ *|ls\ *|awk\ *|rg\ *|echo\ *) exit 0 ;;
   *"git tag -d"*|*"git tag --delete"*|*"git tag -l"*|*"git tag --list"*|*"git tag -n"*) exit 0 ;;
   *" --dry-run"*|*"--dry-run "*) exit 0 ;;
 esac

hooks/ticket-api-bypass-guard.sh

@@ -0,0 +1,84 @@
+#!/bin/bash
+# 管什麼: 用 Gitea API 直接開新票時，要求這一輪有跑過跨 repo 的搜尋（/tmp/.ticket-where-ok，30 分鐘內）。
+# 為什麼: scripts/ticket 早就強制先搜，但那道閘只擋走正門的人。2026-08-20 總管走 API 側門開了 12 張票，每一張都跟舊票重疊。
+# 誤觸時怎麼關: 跑 `scripts/ticket where <關鍵字>` 先搜（之後 30 分鐘 API 也放行），或在指令裡加 `ticket-api-ok` 留痕放行。
+# ticket-api-bypass-guard.sh — 開票的「側門」也要經過同一道搜尋閘
+#
+# 來由（leo 2026-08-20 當場問「如何防止」）：
+#   `scripts/ticket new` 早就強制「開票前先搜」（/tmp/.ticket-where-ok 戳記，30 分鐘失效）。
+#   但總管當天開了 12 張與舊票重疊的新票——因為他**沒用那支工具，直接打 Gitea API**。
+#   ⇒ 規範有、閘也有，但閘長在「工具」上，而那個動作有兩條路，只封了一條。
+#   leo：「你在讓事情複雜化」／「每張票開以前都要搜尋現有票，你為什麼會開了不搜？」
+#
+# 這支封的是**動作**：任何 Bash 指令只要在對 Gitea 的 issues 端點做寫入，
+# 就要有一個新鮮的搜尋戳記。它不強迫你用 scripts/ticket，只強迫你搜過。
+#   （同 InkStoneCo#36：「守 prod 的閘，包一層腳本就繞過去了——它看的是指令長相」。
+#     本支同樣只看得到指令文字，這是 PreToolUse 這層的天花板；
+#     所以判準取「端點 ＋ 寫入動詞」兩個都命中才擋，讓純讀取一律放行。）
+#
+# 放行（刻意，這些都不是「開票」）：
+#   - 只讀不寫（GET）：撈清單、看票、對帳
+#   - 對既有票的留言／改標籤／關票（/issues/<N>/... 這種帶票號的子路徑）
+#   - scripts/ticket 自己（它有自己的閘，重複擋只會互相打架）
+#   - 指令裡出現 ticket-api-ok（逃生口，會留在指令歷史上）
+set -uo pipefail
+
+INPUT=$(cat)
+CMD=$(printf '%s' "$INPUT" | python3 -c "
+import sys,json
+try: print(json.load(sys.stdin).get('tool_input',{}).get('command',''))
+except Exception: print('')
+" 2>/dev/null)
+[ -n "$CMD" ] || exit 0
+
+# 逃生口（留痕）
+case "$CMD" in *ticket-api-ok*) exit 0 ;; esac
+# scripts/ticket 有自己的閘
+case "$CMD" in *scripts/ticket*|*"ticket where"*|*"ticket new"*|*"ticket say"*) exit 0 ;; esac
+
+# ① 有沒有打到 Gitea 的 issues 端點（不帶票號的那個＝建立新票的路徑）
+printf '%s' "$CMD" | grep -qE 'repos/[^ "'"'"']*/issues([?"'"'"'`,)\\[:space:]]|$)' || exit 0
+
+# ② 指令裡有沒有 POST 這個詞（純 GET 一律放行）
+#    刻意只認一個裸字：跳脫引號、heredoc、python、curl、各種包裝的寫法無限多，
+#    逐個補 pattern 追不完（leo 2026-08-17：「自然語言的變體是無限的，blacklist 永遠追不完」）。
+#    ①已經確定這是「開票那條端點」，純讀取的指令不會出現 POST ⇒ 一個字就夠，而且沒有跳脫的破口。
+printf '%s' "$CMD" | grep -qw 'POST' || exit 0
+
+# ③ 要有新鮮的搜尋戳記（與 scripts/ticket 共用同一個，30 分鐘）
+STAMP=/tmp/.ticket-where-ok
+NOW=$(date +%s)
+FRESH=no
+if [ -f "$STAMP" ]; then
+  AT=$(python3 -c "import json;print(int(json.load(open('$STAMP'))['at']))" 2>/dev/null || echo 0)
+  [ $((NOW - AT)) -le 1800 ] && FRESH=yes
+fi
+[ "$FRESH" = "yes" ] && exit 0
+
+cat >&2 <<'MSG'
+🚫 你正在用 Gitea API 直接開新票，而這一輪沒有搜尋紀錄
+
+leo 2026-08-16：「**寫開票前先去搜尋要開在哪裡，不然你永遠會亂開新票**」
+leo 2026-08-20：「**每張票開以前都要搜尋現有票，你為什麼會開了不搜？這個規範不是早就有 hook 了？**」
+
+規範有，閘也有——但那道閘長在 `scripts/ticket` 這支工具裡，
+而你走的是 API 這條側門。**本閘就是把那道門也封上。**
+
+實錯（2026-08-20 同日）：總管用 API 開了 12 張票，事後盤點**每一張都跟舊票重疊**，
+全部只能關掉指回舊票。leo：「**你在讓事情複雜化**」。
+
+── 怎麼過（擇一）───────────────────────────────
+  1. 先搜（預設，戳記 30 分鐘有效，之後 API 也放行）：
+         scripts/ticket where <關鍵字...>
+     🔴 搜到了就**貼進那張票**，不要開新的：
+         scripts/ticket say <owner/repo#N> -F <內文檔>
+
+  2. 真的是新的一條線 → 直接用那支工具開，它會幫你把該檢查的檢查完：
+         scripts/ticket new <repo> -F <內文檔> --title <標題>
+
+  3. 這次確實不是在開新票（例如批次改標籤／關票／留言）
+     → 指令裡加 `ticket-api-ok` 說明理由，留痕放行。
+
+放行的情況（本閘不管）：純讀取（GET）、對既有票 /issues/<N>/ 的留言與標籤、scripts/ticket 自己。
+MSG
+exit 2

scripts/test-release-tag-guard.sh

@@ -0,0 +1,27 @@
+#!/bin/bash
+# 打 tag 閘的測試（docs/TESTING.md A3）
+# 判準：版本對不上的 tag 要擋；只是讀 tag、或文字裡提到，都不准擋
+cd "$(dirname "$0")/.." || exit 1
+H=hooks/release-tag-guard.sh
+PASS=0; FAIL=0
+run(){
+  printf '%s' "{\"tool_name\":\"Bash\",\"tool_input\":{\"command\":$(python3 -c 'import json,sys;print(json.dumps(sys.argv[1]))' "$2")}}" \
+    | bash "$H" >/dev/null 2>&1
+  got=$?
+  if [ "$got" = "$1" ]; then PASS=$((PASS+1)); printf '  ✅ '; else FAIL=$((FAIL+1)); printf '  ❌ '; fi
+  printf 'want=%s got=%s  %.56s\n' "$1" "$got" "$2"
+}
+echo "── 該擋：版本號與 plugin.json 對不上 ──"
+run 2 'git tag -a v9.9.9 -m test'
+run 2 'echo 開始 && git tag -a v9.9.9 -m test'
+run 2 'ls && git tag -a v9.9.9 -m x'
+run 2 'cd /tmp; git tag -a v9.9.9 -m x'
+echo "── 不該擋：只是讀、只是提到 ──"
+
+run 0 'git tag -l'
+run 0 'echo 等一下要 git tag -a v9.9.9'
+run 0 'git tag -a v9.9.9 -m x --dry-run'
+run 0 'grep -n "git tag" hooks/release-tag-guard.sh'
+echo
+echo "$PASS/$((PASS+FAIL)) 通過"
+[ "$FAIL" -eq 0 ]

scripts/test-ticket-api-bypass-guard.sh

@@ -0,0 +1,41 @@
+#!/bin/bash
+# 開票側門閘的測試（docs/TESTING.md A4）
+# 判準：4 種該擋、8 種不該擋、1 種有戳記時放行 = 13 條
+cd "$(dirname "$0")/.." || exit 1
+H=hooks/ticket-api-bypass-guard.sh
+PASS=0; FAIL=0
+run(){ # $1=want $2=cmd
+  printf '%s' "{\"tool_name\":\"Bash\",\"tool_input\":{\"command\":$(python3 -c 'import json,sys;print(json.dumps(sys.argv[1]))' "$2")}}" \
+    | bash "$H" >/dev/null 2>&1
+  got=$?
+  if [ "$got" = "$1" ]; then PASS=$((PASS+1)); printf '  ✅ '; else FAIL=$((FAIL+1)); printf '  ❌ '; fi
+  printf 'want=%s got=%s  %.56s\n' "$1" "$got" "$2"
+}
+SAVED=""; [ -f /tmp/.ticket-where-ok ] && SAVED=$(cat /tmp/.ticket-where-ok)
+rm -f /tmp/.ticket-where-ok
+
+echo "── 該擋（沒有搜尋戳記，且真的在開新票）──"
+run 2 'curl -X POST https://git.uncle6.me/api/v1/repos/inkstone/ISEP/issues -d @b.json'
+run 2 'python3 -c "req(\"POST\", f\"{API}/repos/{REPO}/issues\", {\"title\":\"x\"})"'
+run 2 'curl --request POST "$API/repos/inkstone/InkStoneCo/issues"'
+run 2 'req("POST",f"{API}/repos/{REPO}/issues",{"title":"x","labels":[1]})'
+
+echo "── 不該擋（誤攔比漏擋更該修）──"
+run 0 'curl -s "https://git.uncle6.me/api/v1/repos/inkstone/ISEP/issues?state=open"'
+run 0 'req("POST", f"{API}/repos/{REPO}/issues/14/comments", {"body":"x"})'
+run 0 'req("POST", f"{API}/repos/{REPO}/issues/5/labels", {"labels":[1]})'
+run 0 'req("PATCH", f"{API}/repos/{REPO}/issues/5", {"state":"closed"})'
+run 0 'scripts/ticket new ISEP -F /tmp/b.md --title "x"'
+run 0 'echo "等一下要開票到 /repos/x/issues"'
+run 0 'grep -n issues hooks/ticket-api-bypass-guard.sh'
+run 0 'curl -s "$API/repos/inkstone/Arcrun/issues?state=open&limit=100"'
+
+echo "── 有新鮮戳記時放行 ──"
+python3 -c "import json,time;json.dump({'at':time.time(),'n':0,'top':[]},open('/tmp/.ticket-where-ok','w'))"
+run 0 'curl -X POST https://git.uncle6.me/api/v1/repos/inkstone/ISEP/issues'
+
+rm -f /tmp/.ticket-where-ok
+[ -n "$SAVED" ] && printf '%s' "$SAVED" > /tmp/.ticket-where-ok
+echo
+echo "$PASS/$((PASS+FAIL)) 通過"
+[ "$FAIL" -eq 0 ]

scripts/ticket

@@ -47,15 +47,35 @@ def die(msg, code=2):
 
 def token():
     root = os.environ.get("CLAUDE_PROJECT_DIR") or os.getcwd()
+    # 掃這個 repo 的**所有** remote，找第一個指向本站、且帶憑證的。
+    # 原本寫死只認名叫 "gitea" 的 remote —— 2026-08-20 實撞：
+    # ISEP 這個新 repo 的 remote 叫 origin，於是這支腳本在那裡整個跑不起來，
+    # 「開票前先搜」那道閘在新 repo 等於不存在。閘不該綁在某個 remote 的名字上。
+    host = HOST.split("//")[-1].rstrip("/")
     try:
-        url = subprocess.run(["git", "-C", root, "remote", "get-url", "gitea"],
+        out = subprocess.run(["git", "-C", root, "remote", "-v"],
-                             capture_output=True, text=True, timeout=20).stdout.strip()
+                             capture_output=True, text=True, timeout=20).stdout
     except Exception:
-        url = ""
+        out = ""
-    m = re.search(r"//[^:]+:([^@]+)@", url)
+    for line in out.splitlines():
-    if not m:
+        if host not in line:
-        die("🔴 拿不到 gitea token（該 repo 的 gitea remote 沒有帶憑證）")
+            continue
-    return m.group(1)
+        m = re.search(r"//[^:/]+:([^@]+)@", line)
+        if m:
+            return m.group(1)
+    # 退而求其次：環境變數（雲端／CI 沒有帶憑證的 remote 時走這條）
+    for env in ("GITEA_TOKEN_CLAUDE_CODE", "GITEA_TOKEN"):
+        v = os.environ.get(env)
+        if v:
+            return v
+    die(f"""🔴 拿不到 {host} 的 token
+
+這個 repo 的 remote 裡沒有一個帶憑證且指向 {host}：
+{out.strip() or "（沒有任何 remote）"}
+
+擇一：
+  • 讓某個 remote 帶憑證（多數 repo 的 gitea/origin 本來就有）
+  • 或設環境變數 GITEA_TOKEN_CLAUDE_CODE""")
 
 
 def api(path, payload=None, method=None):

system-dev/wiki/mistakes.md

@@ -25,3 +25,13 @@
    原因: 兩種路徑指的是完全不同的東西（「plugin 安裝到哪」vs「正在操作哪個專案」），
          混用就是這條坑的直接原因。
    日期: 2026-08-20（README「路徑規約」段記錄，ISEP 0.1.0 把 51 條 hook 路徑全部改過一輪）
+
+## ⚠️ MISTAKE: 「裝好了」不等於「它在跑」
+
+2026-08-20 實查：ISEP repo 建好、README 寫著 0.1.0、41 支閘都在裡面——
+但 `claude plugin list` 裡**根本沒有 ISEP**。本機仍然在跑 `InkStoneCo/.claude/`，
+Gitea 上**一個 release tag 都沒有**。
+
+⇒ 「東西做出來了」與「有人在用它」是兩件事，而只有後者算交付。
+⇒ 判準：**去執行環境查它有沒有被載入**（`claude plugin list` / `claude plugin details`），
+   不要從 repo 裡有什麼檔案去推論。

system-dev/wiki/status.md

@@ -28,3 +28,18 @@ ISEP（InkStone Environment Plugin）：leo 的 Claude Code 環境唯一真相
 |------|--------|------|
 | Claude Code 能不能從私有 Gitea repo 裝 marketplace（要憑證）——README 明寫「尚未驗證」 | 🟡 | 待 `#1`／`#5` 相關票驗證 |
 | `system-dev/wiki/PANORAMA.md`（跨 repo wiki 全景圖）尚未產生——`scripts/wiki-panorama.sh --write` 要先建 `.panorama-repos.txt` roster，屬另一支票的地盤，本次未動 | ⚪ | 待補 |
+
+## 🔴 目前是「兩份閘都在跑」的中間狀態（2026-08-20）
+
+本機已經裝上 ISEP plugin（`claude plugin list` 看得到 `isep@inkstone`，enabled），
+但 `InkStoneCo/.claude/settings.json` 的 41 支閘**還沒拆**。⇒ 同一條規則會擋兩次。
+
+**這是刻意的，不是忘了**：plugin 的 hook 是 session 啟動時載入，
+裝它的那個 session 驗不到它真的會觸發。沒驗到就拆，最壞情況是下一個 session 一支閘都沒有。
+
+**下一個 session 第一件事**：照 `inkstone/ISEP#19` 的驗法確認 plugin 的閘真的會擋，
+確認了才拆舊的。**在那之前，看到閘訊息出現兩次是正常的。**
+
+已比對過的等價性（2026-08-20 逐支）：
+- hook 檔案：41 支檔名完全相同，ISEP 多一支 `release-tag-guard.sh`
+- 註冊條數：PreToolUse 29→30、SessionStart 2、Stop 10、SubagentStop 7、PostToolUse 3，其餘完全相同