Merge remote-tracking branch 'gitea/main' into codex/github-backup-missing-targets-20260627

# Conflicts:
#	docs/LOGBOOK.md

docs/LOGBOOK.md

@@ -28,11 +28,11 @@
 - normal push feature 與 main，等待 Gitea code-review / CD。
 - 部署後讀回 `GET /api/v1/agents/github-target-private-backup-evidence-gate`，目標確認 `owner_response_request_ready=true`、requested templates `9`、forbidden payloads `15`、collection / preflight checks `6/6`，且 create/private ready 與 refs sync ready 仍維持 `0`。
 
-## 2026-06-27｜IwoooS Wazuh owner export reviewer validation passed 本地完成
+## 2026-06-27｜IwoooS Wazuh owner export reviewer validation passed 正式讀回完成
 
 **時間與來源**：
-- 2026-06-27 20:42-20:50 Asia/Taipei。
-- 來源：`docs/security/wazuh-manager-registry-reviewer-validation.snapshot.json`、`scripts/security/wazuh-manager-registry-reviewer-validation.py`、API service / tests、`/zh-TW/iwooos` 前台卡與 guard。
+- 2026-06-27 20:42-21:22 Asia/Taipei。
+- 來源：`docs/security/wazuh-manager-registry-reviewer-validation.snapshot.json`、`scripts/security/wazuh-manager-registry-reviewer-validation.py`、API service / tests、Gitea Actions、production API、`/zh-TW/iwooos` desktop / mobile browser smoke。
 
 **完成內容**：
 - 將 Wazuh manager registry reviewer validation 從 contract waiting 狀態推進為 committed public-safe readback：`owner_registry_export_received_count=1`、`owner_registry_export_accepted_count=1`、`reviewer_validation_ready_count=1`、`reviewer_validation_passed_count=1`。
@@ -51,8 +51,32 @@
 - `python3 -m json.tool apps/web/messages/zh-TW.json`、`apps/web/messages/en.json`、`docs/security/wazuh-manager-registry-reviewer-validation.snapshot.json`：通過。
 - `git diff --check`：通過。
 
+**Gitea / deploy 狀態**：
+- code commit：`9c638c78a feat(iwooos): record wazuh owner registry export validation`。
+- 本段 deploy marker：`f461a118a chore(cd): deploy 9c638c7 [skip ci]`。
+- 最新 production deploy marker：`c6bc1e6d1 chore(cd): deploy f47ee7d [skip ci]`，包含 `9c638c78a`。
+- code-review `#3685` 對 `9c638c78a` 成功，`13s`。
+- CD `#3684` 對 `9c638c78a` 已產出 deploy marker 後，被後續 `f47ee7d96` push 取消；不作最終全綠基準。
+- 後續同伴 commit `f47ee7d96 fix(awooop): align approvals with controlled automation` 的 code-review `#3687` 成功，CD `#3686` 成功，最新 deploy marker 為 `c6bc1e6d1`。
+- `ansible-lint.yml #3683` 仍為 waiting；本輪未把它作為 production readback 或 CD 成功判準。
+
+**production API readback**：
+- `GET /api/v1/iwooos/wazuh-manager-registry-reviewer-validation?_v=c6bc1e6d-owner-export-readback-2120`：HTTP `200`。
+- schema：`iwooos_wazuh_manager_registry_reviewer_validation_readback_v1`。
+- status：`accepted_for_readonly_posture_only`。
+- mode：`committed_validation_passed_readback_no_runtime_no_secret_collection`。
+- `owner_registry_export_received_count=1`、`owner_registry_export_accepted_count=1`、`reviewer_validation_ready_count=1`、`reviewer_validation_passed_count=1`、`reviewer_validation_failed_count=0`、`reviewer_validation_quarantined_count=0`。
+- `manager_registry_accepted_count=0`、`post_enable_readback_passed_count=0`、`runtime_gate_count=0`、`host_write_authorized_count=0`、`active_response_authorized_count=0`、`secret_value_collection_allowed_count=0`。
+- evidence slots：`6`；`received=6`、`accepted=6`、`quarantined=0`。
+
+**production browser smoke**：
+- Desktop `1366x900`，URL `https://awoooi.wooo.work/zh-TW/iwooos?_v=c6bc1e6d-owner-export-desktop-2122`：HTTP `200`、console error `0`、水平溢出 `0`、project forbidden hits `0`。
+- Mobile `390x844`，URL `https://awoooi.wooo.work/zh-TW/iwooos?_v=c6bc1e6d-owner-export-mobile-2122`：HTTP `200`、console error `0`、水平溢出 `0`、project forbidden hits `0`。
+- 兩個 viewport 皆讀到 `Reviewer passed` / `reviewer_validation_passed_count`、`owner_registry_export_received_count=1`、`owner_registry_export_accepted_count=1`、`reviewer_validation_passed_count=1`、`manager_registry_accepted_count=0`、`post_enable_readback_passed_count=0`、`runtime_gate_count=0`、`not_authorization=true`。
+- `raw_wazuh_payload_storage_allowed=false` 仍只作為停止線 key 可見；project forbidden hits 依 `iwooos-frontend-display-redaction-guard.py` 的 public fragments 計算為 `0`，未出現自然語句 `raw Wazuh payload`、內網位址或 `source_thread_id`。
+
 **完成度 / 邊界**：
-- 本段「owner-provided redacted Wazuh manager registry export 收件與 reviewer validation passed」本地：`0% -> 85%`。尚待 commit、push、CD、production API readback 與 desktop / mobile browser smoke。
+- 本段「owner-provided redacted Wazuh manager registry export 收件與 reviewer validation passed」正式讀回：`0% -> 100%`。
 - IwoooS 整體：保守 `70% -> 71%`。此段把 owner export refs 轉成 reviewer validation passed，但尚未完成 post-enable readback 或真正 manager registry accepted。
 - Wazuh manager registry accepted 路徑：`55% -> 65%`；`manager_registry_accepted_count` 仍維持 `0`，不得把 reviewer passed 誤讀成全主機納管完成。
 
@@ -61,13 +85,13 @@
 - `wazuh_api_live_query_authorized=false`、`wazuh_agent_reenroll_authorized=false`、`wazuh_agent_restart_authorized=false`、`wazuh_manager_restart_authorized=false`、`wazuh_active_response_authorized=false`、`host_write_authorized=false`、`secret_value_collection_allowed=false`、`raw_wazuh_payload_storage_allowed=false`、`kali_active_scan_authorized=false`、`runtime_execution_authorized=false`、`not_authorization=true`。
 
 **做過的命令類型**：
-- 寫入：repo API service / test / frontend / i18n / guard / snapshot / LOGBOOK。
-- 只讀：repo snapshot 驗證、本地 API tests、guard、JSON、typecheck。
+- 寫入：repo API service / test / frontend / i18n / guard / snapshot / LOGBOOK，以及正常 Gitea push。
+- 只讀：repo snapshot 驗證、本地 API tests、guard、JSON、typecheck、Gitea Actions readback、production API readback、production desktop / mobile browser smoke。
 - 未做：沒有 host / Docker / systemd / Nginx / firewall / K8s / DB / Wazuh runtime 寫操作；沒有讀 secret 明文；沒有重新註冊 agent；沒有 Wazuh restart；沒有 Wazuh active response；沒有 Kali active scan；沒有 force push。
 
 **下一步**：
-- commit / push 到 Gitea 後等待 CD，正式驗證 `GET /api/v1/iwooos/wazuh-manager-registry-reviewer-validation`、`/zh-TW/iwooos` desktop / mobile、forbidden hits、console errors 與水平溢出。
-- production 讀回通過後，再進 `post_enable_iwooos_readback`；只有 post-enable readback 成立後，才能評估 manager registry accepted 是否仍維持 0 或可由正式 evidence 推進。
+- 下一個 P0 是 `post_enable_iwooos_readback`：只讀確認 reviewer passed 後的 IwoooS post-enable readback，不查 live Wazuh、不保存 raw owner export payload、不做 runtime action。
+- 只有 post-enable readback 成立後，才能評估 manager registry accepted 是否仍維持 `0` 或可由正式 evidence 推進。
 
 ## 2026-06-27｜P2-416 D1N：目前有效 AI Agent 自主化控制層與日週月報 Telegram Gateway 接線