Leo
d19bf88503
09-07 三種寫入在雲端全被 auto mode 分類器擋：npx wrangler secret put、 stage-deploy-artifacts.py --confirm、curl POST 到 arcrun-yuga3bse—— 白名單是逐條比前綴，複合指令與任意 curl 永遠對不上；放整類又是紅線。 - scripts/stage secret put|list|delete：直接打 CF API（不經 npx）；先 GET /accounts 看這把 token 打得到誰，stage 的 ID 不在裡面就拒絕並印出它打得到誰；URL 永遠只帶 1129efd7…；值只從 --from-env 讀，--value 拒收。 - scripts/stage api <METHOD> <worker>/<path>：curl 打實例，主機只會是 *.arcrun-yuga3bse.workers.dev，別的主機拒絕；標頭與 body 走 stdin 設定檔＋管線， 不走 argv；--bearer-env／--header-env／--data-env 從環境變數讀。 - docs/permissions-allow.json：stage 四種形狀＋Arcrun 自己那支 stage-deploy-artifacts.py 的相對形狀（它已寫死只認 youlin 帳號 ID、不收 --account／--token，不重造）。 - scripts/test-stage.sh 45 條（假 CF 對 PUT 回 201——第一次實跑 CF 回 201 被講成失敗， 就是這格抓的）；test-settings-allow-sync 仍 19/19。 - 真跑：探針種進 youlin arcrun-cypher-executor、CF API 獨立列到、刪掉恢復原狀； api GET health 200、無 Bearer POST 401、leo21c 主機拒絕零請求。 「帶 Bearer 真寫 KBDB」缺 KBDB_INTERNAL_TOKEN 沒跑（TESTING A36 標明）。 盤點在本樹實數：hooks 61、註冊 85（都沒動）、scripts 56（＋stage、＋test-stage.sh）。 版本待總管定版。 Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01DTZ9QtvjY7MNxjfQbexAm7
37 lines
3.1 KiB
JSON
37 lines
3.1 KiB
JSON
{
|
||
"_what": "Claude Code 權限白名單（permissions.allow）的唯一清單——本機與雲端都從這裡讀，不各養一份（inkstone/ISEP#130）",
|
||
"_why": [
|
||
"leo 09-07 親手把四個 Gitea 正門工具（ticket／mainline／gate-ok／gitea-pr-merge）加進本機 InkStoneCo/.claude/settings.json，auto mode 的分類器才不擋。",
|
||
"雲端 session 沒有那四條，同樣的動作照樣被擋（09-04 progress-guard run log：permission_denials=6）。",
|
||
"薄殼 repo（GitHub）要 D20 開閘才推得動 ⇒ 白名單住 ISEP，`scripts/settings-allow-sync` 開工時寫進那台機器的 ~/.claude/settings.json。",
|
||
"以後加規則只改這個檔、出一版，雲端下一趟就有。",
|
||
"inkstone/ISEP#137：09-07 雲端對 stage 的三種寫入（`npx wrangler secret put`／`stage-deploy-artifacts.py`／curl POST 到 arcrun-yuga3bse）全被分類器擋——複合指令與任意 curl 對不上任何一條前綴。收成 `scripts/stage`（secret／api 兩個子命令，只寫 stage、值只從環境變數名讀）四種形狀，外加 Arcrun 自己那支 `scripts/stage-deploy-artifacts.py`（它已寫死只認 youlin 帳號 ID、不收 --account／--token）從 Arcrun repo 根目錄的相對形狀。不放 `Bash(npx *)`／`Bash(wrangler *)`／`Bash(curl *)`。"
|
||
],
|
||
"_rules": [
|
||
"開頭的 `~` 由 settings-allow-sync 換成那台機器的家目錄（本機 /Users/…、雲端 /root），其餘一字不改。",
|
||
"只放「正門工具」：每一條都要說得出它是哪支腳本的哪種呼叫形狀。不放 Bash(python3 *) 這種整類放行。",
|
||
"同一支工具幾種呼叫形狀就幾條（快取路徑／$CLAUDE_PLUGIN_ROOT／相對路徑）——權限規則是逐條完全比對，形狀差一個字就落在規則之外（scripts/gate-ok 檔頭記過這一課）。",
|
||
"別的 repo 的正門工具也可以進來（例 Arcrun 的 `scripts/stage-deploy-artifacts.py`），條件一樣：那支腳本自己把「只打哪台」寫死在程式裡，本清單放的是它從那個 repo 根目錄跑的相對形狀。"
|
||
],
|
||
"allow": [
|
||
"Bash(python3 ~/.claude/plugins/cache/inkstone/isep/*/scripts/ticket *)",
|
||
"Bash(python3 \"$CLAUDE_PLUGIN_ROOT/scripts/ticket\" *)",
|
||
"Bash(python3 \"$CLAUDE_PLUGIN_ROOT\"/scripts/ticket *)",
|
||
"Bash(python3 scripts/ticket *)",
|
||
"Bash(python3 ~/.claude/plugins/cache/inkstone/isep/*/scripts/mainline *)",
|
||
"Bash(python3 \"$CLAUDE_PLUGIN_ROOT/scripts/mainline\" *)",
|
||
"Bash(python3 \"$CLAUDE_PLUGIN_ROOT\"/scripts/mainline *)",
|
||
"Bash(python3 scripts/mainline *)",
|
||
"Bash(bash ~/.claude/plugins/cache/inkstone/isep/*/scripts/gate-ok *)",
|
||
"Bash(bash \"$CLAUDE_PLUGIN_ROOT/scripts/gate-ok\" *)",
|
||
"Bash(bash \"$CLAUDE_PLUGIN_ROOT\"/scripts/gate-ok *)",
|
||
"Bash(bash scripts/gate-ok *)",
|
||
"Bash(bash scripts/gitea-pr-merge.sh *)",
|
||
"Bash(python3 ~/.claude/plugins/cache/inkstone/isep/*/scripts/stage *)",
|
||
"Bash(python3 \"$CLAUDE_PLUGIN_ROOT/scripts/stage\" *)",
|
||
"Bash(python3 \"$CLAUDE_PLUGIN_ROOT\"/scripts/stage *)",
|
||
"Bash(python3 scripts/stage *)",
|
||
"Bash(python3 scripts/stage-deploy-artifacts.py *)"
|
||
]
|
||
}
|