記錄 compose 與 seed token 守門

docs/memory/claude_inventory_validation_20260513.md

@@ -54,6 +54,9 @@
 - OpenClaw QA / daily Hermes template / NemoTron qwen3 的 flag 文件與測試已對齊 Ollama-first 預設 ON；顯式 `false` 才是 Gemini/NIM legacy 緊急退路。
 - `.env.example` 已補齊 Python runtime 實際讀取的環境變數，`tests/test_phase3f_cleanup_contracts.py::test_env_example_documents_runtime_os_env_keys` 會掃 `app.py/config.py/scheduler.py/run_scheduler.py/routes/services/utils` 的 `os.getenv()` / `os.environ.get()`；只允許 `PYTEST_CURRENT_TEST` 與 `MOMO_ALLOW_INSECURE_CONFIG_FOR_TESTS` 兩個測試內部 key 不進範例。
 - `docker-compose*.yml` 使用的 `${VAR}` 也已納入 `.env.example` 契約，包含 MCP compose 的 `TAVILY_API_KEY`、`EXA_API_KEY`、`MCP_POSTGRES_PASSWORD`、`FIRECRAWL_AUTH_KEY`，以及 image tag / Grafana / pgAdmin / Metabase / Grist 變數；`test_env_example_documents_docker_compose_variables` 會守住。
+- Market Intel `seed_writer_cli_status` route 已補 API 層回歸：即使 `execute=true` 且環境有 `MARKET_INTEL_SEED_WRITE_APPROVAL`，API 仍不得回吐 token / `approval_token_hint` / 固定 token 文案，且不得 ready 或寫入；`tests/test_market_intel_skeleton.py::test_seed_writer_cli_status_route_never_leaks_approval_token` 會守住。
+- Docker 主 compose 的 `momo-app` / `scheduler` / `telegram-bot` 已有 `mem_limit` 與 `healthcheck`，並由 `tests/test_docker_compose_runtime_mounts.py` 守住；V2 提到的 nginx / nginx-monitor / metabase / grist healthcheck 缺口需先看 profiles，這些服務分別被鎖在 `local-dev`、`deprecated`、`bi`，不是 default production path。
+- MCP compose 安全邊界已有 `tests/test_mcp_compose_contracts.py`：postgres/omnisearch/firecrawl healthcheck、Firecrawl/Playwright/Redis/filesystem memory guardrails、filesystem-mcp read-only mount 與不接 docker socket 都會被測試守住。
 - `routes/price_comparison_routes.py` 的 MOMO crawler TODO 已接到既有 `services.momo_crawler.search_momo_products()`；未手動上傳 MOMO 商品時會自動抓 MOMO，再交給比價服務。
 - Telegram `momo:eig:<event_id>` callback 已在 `routes/openclaw_bot_routes.py` 與 `services/telegram_bot_service.py` 實作並有 webhook 測試覆蓋，不是未實作缺口。
 - Telegram `date_*` / `goal_*` 不是死 callback handler：按鈕先送 `await:*` 進入輸入等待狀態，使用者下一則文字才由 pending action 消費；`tests/test_openclaw_bot_menu_keyboards.py` 與 `tests/test_openclaw_bot_routes_webhook.py` 已覆蓋。
@@ -170,3 +173,8 @@
 - `2b2233d` 補齊 OpenClaw 與 DeepSeek 環境範例
 - `acef0fa` 守住 runtime 環境變數文件契約
 - `ae1895f` 守住 compose 環境變數文件契約
+- `73bbc45` 更新 Claude 盤點驗證記憶
+- `490336a` 守住 Market Intel seed token 不外洩
+- `dc6fc69` 守住核心容器資源與健康檢查
+- `7766e35` 守住 MCP compose 安全邊界
+- `621c9f2` 守住 optional compose profile 邊界