diff --git a/docs/LOGBOOK.md b/docs/LOGBOOK.md index d50ffa73..952f723e 100644 --- a/docs/LOGBOOK.md +++ b/docs/LOGBOOK.md @@ -1,3 +1,38 @@ +## 2026-06-04|IwoooS P1 Source Control Readiness 只讀重盤 + +**背景**:接續 IwoooS P0 資安治理總帳,本輪推進 P1 GitHub primary readiness 的只讀盤點與規範校準。工作原則維持低摩擦、只讀證據、不中斷 Gitea、不切 GitHub primary、不建立 repo、不同步 refs、不修改 workflow、不收 secret value。工作中已同步另一個 AwoooP Session 推進的 `1ae8f809` approval timeline 修正、`cff2e5cc` LOGBOOK、`6efbd7c6` deploy marker,避免以舊 `gitea/main` 推送。 + +**本輪完成**: +- 重跑 `awoooi` Gitea / GitHub refs inventory:Gitea heads `170`、GitHub heads `2`、Gitea tags `2`、GitHub tags `0`,Gitea `main=6efbd7c6af2af12ddec62e8455a50ac20de991cd`、GitHub `main=202071f7a8724d5e8c29de441c3f380575a0ea94`,仍為 `blocked`。 +- 重跑 Gitea public-only repo inventory:user endpoint 仍只看見 `wooo/awoooi`、`wooo/ewoooc`;org endpoint 仍是 blocked / 404,因此不得視為全量 Gitea 專案盤點完成。 +- 重跑 GitHub target probe:8 個候選中 5 個可讀、3 個 `not_found_or_private`;`nexu-io/open-design` heads 增至 `644`,只作 external scope evidence。 +- 重跑 workflow / secret 名稱本機 evidence:8 個候選、7 個本機可見、4 個 local evidence repo、31 個 workflow files、42 個 unique referenced secret names、`secret_value_detected=false`。 +- 更新 `SOURCE-CONTROL-PRIMARY-READINESS-GATE`、`GITEA-GITHUB-MIGRATION-INVENTORY`、`SOURCE-CONTROL-WORKFLOW-SECRET-NAME-LOCAL-EVIDENCE` 與 IwoooS P0/P1 主控總帳,明確列出已不符合現況、需新增規範、需調整規範與 P1 優先順序。 + +**規範結論**: +- GitHub primary readiness gate 仍為 `0`;P1 只讀重盤階段完成度為 `55%`,不得解讀成 cutover readiness。 +- 舊 S4.11 `141` refs review items 已不符合 2026-06-04 current refs truth,下一步需重產 ref detail diff / ref truth classification。 +- Snapshot 必須標示 refresh date 與可重現路徑;工具重產的 snapshot 不得覆蓋治理補註後就視為完整狀態。 +- Workflow / secret 名稱只有 local evidence,webhook、runner owner、deploy key、branch protection、repository secret parity 仍是 missing evidence。 + +**驗證**: +- `git diff --check`:通過。 +- `python3 -m json.tool`:`gitea-github-awoooi-inventory.snapshot.json`、`github-target-probe.snapshot.json`、`source-control-primary-readiness-gate.snapshot.json`、`source-control-workflow-secret-name-local-evidence.snapshot.json`、`gitea-repo-inventory.snapshot.json`、`gitea-public-repo-search.snapshot.json`、`gitea-org-repo-inventory-blocked.snapshot.json` 皆通過。 +- `python3 scripts/security/source-control-owner-response-guard.py --root .`:`SOURCE_CONTROL_OWNER_RESPONSE_GUARD_OK`。 +- `python3 scripts/security/security-mirror-progress-guard.py --root .`:`SECURITY_MIRROR_PROGRESS_GUARD_OK`。 +- Production 頁面檢查:本輪未改前端、未改 production 文案、未新增 deploy;沿用 P0 `/zh-TW/iwooos` live sanity 結果,不宣稱新的 production 狀態。 + +**推版狀態**: +- 規範 refresh commit:`e84eba93 docs(security): refresh IwoooS source control readiness [skip ci]`。 +- 本段 LOGBOOK commit:本段所在提交。 +- 最新同步到的 `gitea/main` 基準:`6efbd7c6 chore(cd): deploy 1ae8f80 [skip ci]`。 +- Gitea run:本輪為 docs / snapshot / LOGBOOK only,使用 `[skip ci]` 時不應產生新的 CD / code-review run。 + +**目前邊界**: +- IwoooS 整體仍維持 64%;框架 / 只讀證據 / 前台可視化仍維持 92%;runtime landing 仍維持 40-45%。 +- `owner_response_received_count=0`、`owner_response_accepted_count=0`、`active_runtime_gate_count=0`、`github_primary_ready_count=0`。 +- `runtime_execution_authorized=false`、`github_primary_switch_authorized=false`、`action_buttons_allowed=false`、`host_update_authorized=false`、`active_scan_authorized=false`。 + ## 2026-06-04|IwoooS P0 資安治理總帳與 S4.9 Gate 規範 **背景**:IwoooS 目前整體維持 64%,框架 / 只讀證據 / 前台可視化約 92%,runtime landing 仍為 40-45%,active runtime gate 仍為 0。本輪依統帥要求,把相關規範重新收斂成 P0 主控板、S4.9 owner response gate、跨 Session 同步規則與正式頁驗證節點;不做 runtime、不做 Kali active scan、不做 SSH 主機變更、不切 GitHub primary。 diff --git a/docs/workplans/2026-06-04-iwooos-security-governance-p0.md b/docs/workplans/2026-06-04-iwooos-security-governance-p0.md index be3f544e..ee05bff0 100644 --- a/docs/workplans/2026-06-04-iwooos-security-governance-p0.md +++ b/docs/workplans/2026-06-04-iwooos-security-governance-p0.md @@ -174,6 +174,12 @@ P1 只讀重盤階段整體完成度:`55%`。它代表 freshness / inventory | production mobile `/zh-TW/iwooos` | 展開「前台入口與既有資安頁」後候選卡可見;`horizontalOverflow=false` | | action href 檢查 | `/execute`、scan、repo / refs / workflow / secret / primary mutation href 皆為 0 | | 截圖 | `/private/tmp/iwooos-governance-p0-prod-desktop-summary-open-20260604.png`、`/private/tmp/iwooos-governance-p0-prod-mobile-summary-open-20260604.png` | +| P1 `awoooi` refs inventory refresh | Gitea heads `170`、GitHub heads `2`、Gitea tags `2`、GitHub tags `0`,Gitea `main=6efbd7c6...`、GitHub `main=202071f...`,仍 `blocked` | +| P1 Gitea repo inventory refresh | user endpoint public-only 2 repos;org endpoint blocked / 404;仍需只讀 token 或 redacted admin export | +| P1 GitHub target probe refresh | 8 個候選中 5 個可讀、3 個 `not_found_or_private`;`open-design` heads `644` 僅作 external scope | +| P1 workflow / secret 名稱 refresh | 31 個 workflow files、42 個 unique referenced secret names、`secret_value_detected=false` | +| P1 JSON parse | `gitea-github-awoooi-inventory`、`github-target-probe`、`source-control-primary-readiness-gate`、`source-control-workflow-secret-name-local-evidence`、Gitea repo / search / org blocked snapshots 皆通過 | +| P1 production 頁面檢查 | 本輪未改前端、未改 production 文案、未新增 deploy;不宣稱新的 production 狀態,沿用 P0 live sanity 作為基準 | 本輪驗證後仍維持: