awoooi/docs/security/GITHUB-TARGET-REPO-APPROVAL-PACKAGE.md

GitHub Target Repo-by-repo Approval Package

項目	內容
日期	2026-05-12
狀態	草案，等待人工批准
上游決策	docs/security/GITHUB-TARGET-VISIBILITY-DECISION-TABLE.md
JSON snapshot	docs/security/github-target-repo-approval-package.snapshot.json
Schema	docs/schemas/github_target_repo_approval_package_v1.schema.json
Owner response 收件包	docs/security/GITHUB-TARGET-OWNER-DECISION-RESPONSE.md
低摩擦 policy	docs/security/SECURITY-LOW-FRICTION-ROLLOUT-POLICY.md
原則	低摩擦、逐 repo 決策，不自動建 repo、不改 visibility、不同步 refs、不切 primary

0. 核心結論

7 個 approval-required GitHub targets 已拆成三條批准路徑：

1. Refs reconcile：awoooi、clawbot-v5、wooo-aiops。
2. GitHub target 建立 / 授權：ewoooc、bitan-pharmacy、tsenyang-website。
3. Internal remote 用途確認：wooo-infra-config。

這份 package 只讓 AwoooP / 統帥看到每個 repo 的批准條件與禁止動作，不代表已批准 push、mirror、repo creation、visibility 修改或 GitHub primary。

S4.10 已補 1 個 owner response request packet、7 個 template statuses、3 個 audit event templates、5 個 redaction examples、6 個 collection checks、6 個 intake preflight checks 與 7 個 owner decision response templates。owner response 通過後只允許更新 read-only decision table、approval package、approval board 與 primary readiness gate；它不等於 repo creation、visibility change、refs sync 或 primary approval。

0.1 低摩擦分階段原則

初期資安網的目標是先建立框架與 evidence，不是把整個產品、架構、流程一次拉到最高限制。為避免造成開發、部署與營運流程過度複雜，本 package 採用以下原則：

1. Read-only inventory、文件化、evidence mirror 預設允許繼續推進。
2. 一般 repo 分類、owner 註記、風險標籤先用 observe / warn，不直接阻擋流程。
3. 只有會建立 repo、修改 visibility、同步 refs、搬 secret、刪除 / 封存 repo、切 primary 的動作才需要 approval。
4. Approval package 只做「下一步是否可執行」的邊界，不把每個低風險調查動作都變成審批。
5. 每階段只收斂一小段控制面，避免一次導入過多工具、規則與流程。

1. Repo-by-repo 決策表

GitHub target	Action	Risk	Required reviewers	Blocked until
owenhytsai/awoooi	refs reconcile plan	HIGH	migration-engineer、security-commander、human-owner	server-side inventory、refs/workflows/webhooks/secrets 名稱、primary ADR
owenhytsai/clawbot-v5	refs reconcile plan	MEDIUM	migration-engineer、human-owner	main SHA / tag 處理方式確認
owenhytsai/wooo-aiops	refs reconcile plan	MEDIUM	migration-engineer、human-owner	main SHA、GitHub-only branch/tags 來源釐清
owenhytsai/wooo-infra-config	confirm internal remote purpose	MEDIUM	migration-engineer、security-commander、human-owner	110 remote 用途、infra secret 名稱 inventory
owenhytsai/ewoooc	create or grant access after canonical approval	HIGH	migration-engineer、security-commander、human-owner	momo/ewoooc canonical、server-side refs diff、owner / visibility
owenhytsai/bitan-pharmacy	create or grant access after canonical approval	MEDIUM	migration-engineer、human-owner	active 狀態、owner / visibility
owenhytsai/tsenyang-website	create or grant access after canonical approval	MEDIUM	migration-engineer、human-owner	active 狀態、owner / visibility

2. 批准後只允許的事

Action	批准後允許
refs reconcile plan	產生 reconcile plan、draft migration PR 或 ADR、更新 matrix evidence
create or grant access after canonical approval	決定建立 GitHub repo 或授權既有 private repo、產生 migration plan
confirm internal remote purpose	標記 remote 為 mirror / legacy / active source，更新 canonical decision table

3. 即使批准仍禁止的事

1. 直接 push refs。
2. 直接同步 mirror。
3. 直接切 GitHub primary。
4. 直接停用、刪除或封存 Gitea repo。
5. 自動合併 unrelated histories。
6. 搬移 secret value。
7. 修改 GitHub visibility 而沒有明確 repo owner 批准。

4. AwoooP 消費方式

AwoooP 可以 mirror github_target_repo_approval_package_v1 作為 approval queue 的分組 evidence，但只能：

1. 顯示 repo、risk、required reviewers、blocked_until。
2. 建立 approval candidate。
3. 回傳 read-only policy 建議。

AwoooP 不得直接執行 GitHub repo creation、visibility change、refs sync 或 primary switch。

5. 下一步

1. 等待 Gitea full inventory approval 完成，補 private/internal repo list。
2. 依 S4.10 逐 repo 取得 owner / visibility / canonical response，並先通過 acceptance / rejection rules。
3. 對 refs blocked repos 產生 reconcile plan。
4. 對 ewoooc 先完成 canonical 判定，再決定 target 建立或授權。