docs(security): record PR handoff and main sync [skip ci]

docs/LOGBOOK.md

@@ -1,3 +1,25 @@
+## 2026-05-12 | Security Supply Chain PR #117 與 AwoooP 主線同步
+
+**背景**：Security Supply Chain docs-only 分支完成首次推版後，另一個 AwoooP Session 已將 `feat(awooop): harden outbound truth chain mirror` 與 deploy marker 推入 `gitea/main`。為避免雙 Session 推進互相衝突，本輪先把最新 `gitea/main` 合入資安分支，再建立 review-only PR。
+
+**本次同步**：
+- 資安分支 `codex/security-supply-chain-contracts-20260512` 已合入最新 `gitea/main`，merge commit 為 `dc540cba`。
+- 已建立 Gitea PR `#117`：`http://192.168.0.110:3001/wooo/awoooi/pulls/117`。
+- PR 維持 review-only / docs-first / contracts-first；未合併、未部署、未切 GitHub primary。
+- AwoooP 主線 runtime / migration / k8s 變更由 `gitea/main` 保留，本資安分支的 PR diff 仍只呈現資安文件、schema、snapshot 與 read-only tooling。
+
+**驗證**：
+- `gitea/main` 已是資安分支祖先。
+- `python3 -m py_compile scripts/security/*.py` 通過。
+- `git diff --check gitea/main...HEAD` 通過。
+- JSON / schema / snapshot parse 通過，`security_supply_chain_contract_manifest_v1` 12 個 contracts path check 通過。
+- PR diff added lines 未命中本輪敏感 token / credential pattern。
+
+**下一步**：
+- 等 PR review 後再決定是否合併；不得直接切 GitHub primary 或啟動 refs sync。
+- Gitea read-only inventory approval 未批准前，private/internal server-side repo list 保持 blocked。
+- 下一階段仍維持低摩擦 observe-first，不做 runtime blocking。
+
 ## 2026-05-12 | Security Supply Chain docs-only contract manifest
 
 **背景**：統帥批准 Kali `192.168.0.112`、開發主機 `192.168.0.111` / `192.168.0.168`、Code Review -> Codex、Gitea -> GitHub 長期遷移納入同一個資安工作項目；同時要求初期不要把資安等級一次拉太高，避免產品、架構與流程變得過度複雜。