awoooi/docs/security/SOURCE-CONTROL-WORKFLOW-SECRET-NAME-INVENTORY.md

# Workflow / Runner / Secret 名稱 Inventory 契約

| 項目 | 內容 |
|------|------|
| 日期 | 2026-06-11 |
| 狀態 | 草案，missing evidence |
| Schema | `docs/schemas/source_control_workflow_secret_name_inventory_v1.schema.json` |
| Snapshot | `docs/security/source-control-workflow-secret-name-inventory.snapshot.json` |
| Local evidence | `docs/security/source-control-workflow-secret-name-local-evidence.snapshot.json` |
| Export request | `docs/security/source-control-workflow-secret-name-export-request.snapshot.json` |
| Owner response 收件包 | `docs/security/SOURCE-CONTROL-WORKFLOW-SECRET-NAME-OWNER-RESPONSE.md` / `docs/security/source-control-workflow-secret-name-owner-response.snapshot.json` |
| 模式 | `inventory_contract_only` |
| runtime 執行授權 | `false` |

## 0. 核心結論

`source_control_workflow_secret_name_inventory_v1` 是 S4.1 的 workflow / runner / secret 名稱 inventory 契約。

它只定義 GitHub primary cutover 前要收集哪些只讀欄位：workflow 名稱、trigger、runner label、webhook 目的地、deploy key 名稱、branch protection、CODEOWNERS、secret 名稱與 owner。

它不收集 secret value，不修改 workflow，不搬移 secrets，也不授權 GitHub primary cutover。目前 `inventory_complete_count=0`。

S4.2 已補本機可見 evidence：5 個 repos 有 workflow / CODEOWNERS evidence、33 個 workflow files、42 個 referenced secret names、5 個 runner labels。這只是 local partial evidence，仍不代表 GitHub primary ready。

S4.3 已補 redacted export request package：9 個 in-scope repos 需要 owner / read-only export，5 類 export lanes 包含 webhook、runner、deploy key、branch protection / CODEOWNERS 與 repository secret name parity；所有 export 都禁止 secret value 與 write token。

S4.12 已補 owner response request packet、template status ledger、audit event templates、redaction examples、collection checks、intake preflight checks 與收件包：1 個 request packet、5 個 template statuses、3 個 audit event templates、5 個 redaction examples、6 個 collection checks、6 個 intake preflight checks 與 5 個 response templates 對應 webhook、runner、deploy key、branch protection / CODEOWNERS 與 repository secret name parity；目前 received / accepted response 皆為 0、audit events emitted 仍為 0。response 通過也只更新 read-only evidence，不代表修改 workflow、secret、runner、deploy key 或 branch protection。

## 1. 目前狀態

| 指標 | 數量 |
|------|------|
| Candidate repos | 10 |
| In-scope repos | 9 |
| External scope review | 1 |
| Inventory complete | 0 |
| Missing inventory | 9 |
| Secret value collection allowed | `false` |
| Local evidence repos | 5 |
| Local workflow files | 33 |
| Local referenced secret names | 42 |
| Redacted export request repos | 9 |
| Redacted export lanes | 5 |
| S4.12 request packet | 1 |
| S4.12 template statuses | 5 |
| S4.12 audit event templates | 3 |
| S4.12 redaction examples | 5 |
| S4.12 collection checks | 6 |
| S4.12 intake preflight checks | 6 |
| S4.12 response templates | 5 |
| S4.12 received / accepted / rejected | `0 / 0 / 0` |

## 2. Inventory Lanes

| Lane | 可保存 | 禁止保存 |
|------|--------|----------|
| Workflow | workflow path、名稱、trigger、runner label、environment、referenced secret names | secret value、token value |
| Webhook | webhook 名稱、目的地 host、事件類型、enabled flag、owner | webhook secret、含 token URL |
| Runner | runner label、scope、executor type、host alias、owner | registration token、SSH private key |
| Deploy key | key 名稱、read-only flag、repo scope、owner | private key |
| Branch protection / CODEOWNERS | protected branch、required checks、CODEOWNERS path、owner team | admin override token |
| Secret names | secret name、scope、owning team、used by workflow、rotation owner | secret value、credential value |
| Redaction audit | redaction status、evidence ref、producer、reviewer | raw secret、raw token、raw private key |

## 3. AwoooP 可做

1. 顯示每個 repo 缺哪些 inventory lane。
2. 顯示 secret 只允許名稱與 owner，不允許 value。
3. 將 redacted inventory snapshot 寫入 Audit evidence。
4. 對缺資料 repo 顯示 owner review lane。
5. 將失敗或含敏感值 payload 交給 mirror quarantine。
6. 顯示 S4.2 本機 evidence 與仍缺的 API / export lanes。
7. 顯示 S4.3 export request 的欄位清單、拒收欄位與 acceptance gate。
8. 顯示 S4.12 owner response request packet、template status ledger、audit event templates、redaction examples、collection checks、intake preflight checks、templates、acceptance checks 與 rejection rules。

## 4. AwoooP 不可做

1. 不收集、保存、顯示 secret value。
2. 不修改 workflow、webhook、runner、deploy key 或 branch protection。
3. 不建立 GitHub repo。
4. 不 sync refs。
5. 不切 GitHub primary。
6. 不停用或降級 Gitea。
7. 不顯示 repo、refs、secret、primary switch 類 action button。

## 5. 階段定位

S4.1 讓 GitHub primary readiness 的「workflow / secret 名稱 parity」缺口變成可追蹤清單。

S4.2 讓本機可見 workflow / CODEOWNERS / referenced secret names 先形成 partial evidence。

S4.3 讓後續 webhook、runner、deploy key、branch protection / CODEOWNERS 與 repository secret parity 的 owner / read-only export 有明確的欄位、拒收規則與驗收 gate。

S4.12 讓 owner response request、template status、audit event templates、redaction examples、collection checks、intake preflight checks 與 response 有固定收件格式與拒收規則，避免 GitHub hosted runner 額度風險、secret value、write token 或未脫敏 payload 被誤接進 AwoooP。

這仍是低摩擦框架期：只定義欄位、只顯示缺口、只留痕，不碰任何實際 secret 或發版流程。後續即使取得 redacted export，也只代表 evidence 可 review，不代表 GitHub primary ready。