awoooi/docs/security/SOURCE-CONTROL-RECONCILE-PLAN.md

Source Control Draft Reconcile Plan

項目	內容
日期	2026-05-13
狀態	draft_blocked
預設模式	plan_only
inventory gate	blocked
gate 原因	Gitea authenticated / admin_export server-side inventory 尚未完成；本 plan 只能作草案，不可執行 refs sync。
plan count	3
refs owner response 收件包	docs/security/SOURCE-CONTROL-REF-TRUTH-OWNER-RESPONSE.md / docs/security/source-control-ref-truth-owner-response.snapshot.json

0. 核心結論

這份文件只是 refs reconcile 草案，不是同步腳本，也不授權任何 GitHub primary 切換。AwoooP 可以 mirror 成 approval candidate，但不得執行 board item 或呼叫任何 push / sync 工具。

若已存在 source_control_ref_truth_classification_v1，請把它視為本 plan 的人工 review lane 補充：分類結果只協助 repo owner 判定，不授權同步或刪除。S4.11 已補 source_control_ref_truth_owner_response_v1 收件包；response 通過也只更新本 plan 的 draft wording，不代表 refs sync、delete、force push 或 primary approval。

1. Repo 差異摘要

Repo	Risk	Gitea branches	GitHub branches	Gitea tags	GitHub tags	Gitea main	GitHub main
wooo/awoooi -> owenhytsai/awoooi	HIGH	117	2	2	0	5294f071	202071f7
wooo/clawbot-v5 -> owenhytsai/clawbot-v5	MEDIUM	1	1	1	0	22074fbe	7a769de4
wooo/wooo-aiops -> owenhytsai/wooo-aiops	MEDIUM	2	3	0	19	507384a2	7c7aa109

2. Draft Plan

wooo/awoooi -> owenhytsai/awoooi

• 狀態：blocked
• 阻塞原因：branches 尚未完全對齊；tags 尚未完全對齊
• 允許現在做：
  • 更新 read-only evidence
  • 更新 approval board
  • 產生 draft reconcile plan
  • 讓 AwoooP mirror plan 狀態
• 草案步驟：
  • 先確認目前 production deploy 真相來源與 deploy marker 流程，避免主控切換影響發版。
  • 針對 wooo/awoooi 與 owenhytsai/awoooi 產生 branch-by-branch diff 表。
  • 針對 wooo/awoooi 與 owenhytsai/awoooi 產生 tag-by-tag diff 表。
  • 標記每個 diff 的真相來源候選：Gitea、GitHub、人工指定或 deprecated。
  • 列出 workflow / webhook / runner / secret 名稱差異，只記名稱不記 value。
  • 產生 dry-run PR / ADR 草案，仍不 push refs。
• 執行前 gate：
  • Gitea authenticated 或 admin_export server-side repo inventory status=ok
  • branch-by-branch SHA diff 已完成
  • tag-by-tag SHA diff 已完成
  • workflow / webhook / runner / secret 名稱 inventory 已完成
  • repo owner / visibility / branch protection / CODEOWNERS 已確認
  • rollback plan 與 GitHub primary ADR 已完成
  • 人工批准只針對單一 repo 生效，不得批次套用到所有 repo
• 仍然禁止：
  • push refs
  • force push
  • delete refs
  • create GitHub repo
  • change repo visibility
  • switch GitHub primary
  • disable Gitea
  • move secret values
• Evidence refs：
  • docs/security/GITEA-GITHUB-MIGRATION-SNAPSHOT.md

wooo/clawbot-v5 -> owenhytsai/clawbot-v5

• 狀態：blocked
• 阻塞原因：branches 尚未完全對齊；tags 尚未完全對齊
• 允許現在做：
  • 更新 read-only evidence
  • 更新 approval board
  • 產生 draft reconcile plan
  • 讓 AwoooP mirror plan 狀態
• 草案步驟：
  • 針對 wooo/clawbot-v5 與 owenhytsai/clawbot-v5 產生 branch-by-branch diff 表。
  • 針對 wooo/clawbot-v5 與 owenhytsai/clawbot-v5 產生 tag-by-tag diff 表。
  • 標記每個 diff 的真相來源候選：Gitea、GitHub、人工指定或 deprecated。
  • 列出 workflow / webhook / runner / secret 名稱差異，只記名稱不記 value。
  • 產生 dry-run PR / ADR 草案，仍不 push refs。
• 執行前 gate：
  • Gitea authenticated 或 admin_export server-side repo inventory status=ok
  • branch-by-branch SHA diff 已完成
  • tag-by-tag SHA diff 已完成
  • workflow / webhook / runner / secret 名稱 inventory 已完成
  • repo owner / visibility / branch protection / CODEOWNERS 已確認
  • rollback plan 與 GitHub primary ADR 已完成
  • 人工批准只針對單一 repo 生效，不得批次套用到所有 repo
• 仍然禁止：
  • push refs
  • force push
  • delete refs
  • create GitHub repo
  • change repo visibility
  • switch GitHub primary
  • disable Gitea
  • move secret values
• Evidence refs：
  • docs/security/SOURCE-CONTROL-CLAWBOT-V5-SNAPSHOT.md

wooo/wooo-aiops -> owenhytsai/wooo-aiops

• 狀態：blocked
• 阻塞原因：branches 尚未完全對齊；tags 尚未完全對齊
• 允許現在做：
  • 更新 read-only evidence
  • 更新 approval board
  • 產生 draft reconcile plan
  • 讓 AwoooP mirror plan 狀態
• 草案步驟：
  • 針對 wooo/wooo-aiops 與 owenhytsai/wooo-aiops 產生 branch-by-branch diff 表。
  • 針對 wooo/wooo-aiops 與 owenhytsai/wooo-aiops 產生 tag-by-tag diff 表。
  • 標記每個 diff 的真相來源候選：Gitea、GitHub、人工指定或 deprecated。
  • 列出 workflow / webhook / runner / secret 名稱差異，只記名稱不記 value。
  • 產生 dry-run PR / ADR 草案，仍不 push refs。
• 執行前 gate：
  • Gitea authenticated 或 admin_export server-side repo inventory status=ok
  • branch-by-branch SHA diff 已完成
  • tag-by-tag SHA diff 已完成
  • workflow / webhook / runner / secret 名稱 inventory 已完成
  • repo owner / visibility / branch protection / CODEOWNERS 已確認
  • rollback plan 與 GitHub primary ADR 已完成
  • 人工批准只針對單一 repo 生效，不得批次套用到所有 repo
• 仍然禁止：
  • push refs
  • force push
  • delete refs
  • create GitHub repo
  • change repo visibility
  • switch GitHub primary
  • disable Gitea
  • move secret values
• Evidence refs：
  • docs/security/SOURCE-CONTROL-WOOO-AIOPS-SNAPSHOT.md

3. AwoooP 消費方式

1. 只 mirror source_control_reconcile_plan_v1。
2. 只顯示 draft_blocked 與 blocking reason。
3. 可產生 approval candidate，但不得自動批准。
4. 不得新增 execution action button。
5. 真相來源分類請讀 docs/security/SOURCE-CONTROL-REF-TRUTH-CLASSIFICATION.md，並維持單 repo / 單 ref 人工 gate。