docs(security): add IwoooS P0 governance ledger [skip ci]

2026-06-04 15:19:09 +08:00
parent 4e648639c7
commit 032c5ee4ba
12 changed files with 364 additions and 21 deletions
--- a/docs/HARD_RULES.md
+++ b/docs/HARD_RULES.md
@@ -8,11 +8,11 @@

 | 欄位 | 值 |
 |------|-----|
-| **版本** | v2.1 |
+| **版本** | v2.2 |
 | **建立日期** | 2026-03-20 (台北) |
 | **建立者** | Claude Code |
-| **最後修改** | 2026-05-06 (台北) |
-| **修改者** | Codex + ogt (新增文件語言鐵律) |
+| **最後修改** | 2026-06-04 (台北) |
+| **修改者** | Codex + ogt (新增 IwoooS 資安治理禁令) |

 ### 變更紀錄

@@ -30,6 +30,7 @@
 | v1.9 | 2026-04-15 | Claude Code + ogt | 🔴🔴🔴 AI 自主化飛輪 Phase 退出條件鐵律 (ADR-080) |
 | v2.0 | 2026-04-16 | Claude Code + ogt | 新增 No Island Coding / 主動執行熔斷機制 / 自循環工作流 / 狀態機驗證鐵律 |
 | v2.1 | 2026-05-06 | Codex + ogt | 🔴 文件語言鐵律：Markdown/ADR/LOGBOOK/Runbook/交接文件一律繁體中文 |
+| v2.2 | 2026-06-04 | Codex + ogt | 🔴🔴🔴 IwoooS 資安治理禁令：只讀證據、低摩擦、不可誤讀 UI / AwoooP approval / runtime gate |

 ---

@@ -61,6 +62,54 @@
 | **🔴🔴 熔斷機制** | **不確定就停下來問** | **主動做完，爆炸半徑 >3 模組才熔斷** | [→ 主動執行與熔斷](#proactive-execution--circuit-breaker) |
 | **🔴🔴 工作流節奏** | **每步都來回報** | **內部自循環，全局單次回報** | [→ 自循環工作流](#self-loop-workflow) |
 | **🟡 狀態機驗證** | **不查中間狀態卡死** | **必驗 TTL + Cleanup + Fallback** | [→ State & Flow Validation](#state--flow-validation) |
+| **🔴🔴🔴 IwoooS 資安治理** | **UI 可見 / AwoooP approval 當 runtime 授權** | **只讀證據 + owner response gate + 獨立人工批准** | [→ IwoooS Security Governance](#iwooos-security-governance) |
+
+---
+
+## 🔴🔴🔴 IwoooS Security Governance
+
+> 2026-06-04 統帥指示：IwoooS 初期資安不要拉太嚴格，先建立框架、只讀證據、低摩擦流程，再階段性收攏。
+
+### 絕對禁止
+
+```text
+❌ 把 IwoooS UI 可見、卡片、矩陣、Gate 或候選狀態當 runtime 授權
+❌ 把 AwoooP approval / 工作項 / Runs route / 審批佇列當資安批准
+❌ 未完成 S4.9 owner response 驗收就調高 owner response received / accepted
+❌ 未經人工批准直接啟動 Kali active scan、credentialed scan 或 /execute
+❌ 未經維護窗口直接 apt upgrade、restart、reboot、hardening 或 SSH 修改主機
+❌ 收集 token、secret、private key、cookie、session、authorization header、runner token、webhook secret 明文
+❌ 從 Code Review 修正候選自動改 code、自動 merge 或自動正式部署
+❌ 建立 GitHub repo、修改 visibility、同步 refs、刪 refs、force push 或切 GitHub primary
+❌ 在未同步另一個 AwoooP Session 與 gitea/main 前直接 push
+```
+
+### 正確流程
+
+1. 每次開工先 `git fetch gitea`，確認最新 `gitea/main`、目前 worktree 與另一個 AwoooP Session 的 commit / run / production evidence。
+2. S4.9 owner response 必須具備 owner role / team、decision、decision reason、affected scope、redacted evidence refs、followup owner。
+3. 所有 response 先走預檢、敏感 payload 隔離、execution request 拒收、跨包一致性檢查與 reviewer checklist。
+4. Code Review 候選只能先分類為前端體驗、測試補洞、文件同步、低風險重構；人工批准後才可轉 Codex patch / PR / guard / deploy。
+5. 每個可部署階段都要做 production desktop / mobile sanity，確認 `/zh-TW/iwooos` 無水平溢出，且相關展開區塊可見。
+6. 完成階段後更新 P0 總帳與 LOGBOOK，列出完成度、驗證、production URL、仍維持 0 / false 的 gate。
+
+### 仍必須維持 0 / false
+
+```text
+owner_response_received_count=0
+owner_response_accepted_count=0
+redacted_payload_ingested=false
+active_runtime_gate_count=0
+github_primary_ready_count=0
+runtime_execution_authorized=false
+action_buttons_allowed=false
+repo_creation_authorized=false
+refs_sync_authorized=false
+workflow_modification_authorized=false
+github_primary_switch_authorized=false
+host_update_authorized=false
+active_scan_authorized=false
+```

 ---

--- a/docs/LOGBOOK.md
+++ b/docs/LOGBOOK.md
@@ -1,3 +1,39 @@
+## 2026-06-04｜IwoooS P0 資安治理總帳與 S4.9 Gate 規範
+
+**背景**：IwoooS 目前整體維持 64%，框架 / 只讀證據 / 前台可視化約 92%，runtime landing 仍為 40-45%，active runtime gate 仍為 0。本輪依統帥要求，把相關規範重新收斂成 P0 主控板、S4.9 owner response gate、跨 Session 同步規則與正式頁驗證節點；不做 runtime、不做 Kali active scan、不做 SSH 主機變更、不切 GitHub primary。
+
+**本輪完成**：
+- 新增 `docs/workplans/2026-06-04-iwooos-security-governance-p0.md`，作為本工作視窗推進 IwoooS 的 P0 狀態總帳，列出完成度、優先順序、驗證節點、AwoooP 同步封包與 P1/P2/P3 細項。
+- `docs/HARD_RULES.md` 升到 v2.2，新增 IwoooS 資安治理禁令：不得把 UI 可見、AwoooP approval、Code Review 候選或 guard pass 誤讀成 runtime 授權。
+- `docs/security/SECURITY-LOW-FRICTION-ROLLOUT-POLICY.md` 更新為 IwoooS active policy，補 S4.9、Code Review 候選、Kali / 主機維護與跨 Session 同步邊界。
+- `docs/security/SOURCE-CONTROL-OWNER-RESPONSE-VALIDATION-ROLLUP.md` 補 S4.9 最小回覆封套欄位：owner role / team、decision、decision reason、affected scope、redacted evidence refs、followup owner。
+- `docs/security/DEV-HOSTS-112-111-168-OBSERVE-ONLY-MAPPING.md` 補 112 / 111 / 168 的 scope、maintenance window、credential handling、rollback owner 與 validation 指標。
+- `docs/security/AWOOOP-MIRROR-ONLY-CONSUMPTION-CHECKLIST.md` 補 AwoooP Session 同步規則與 Code Review 候選流轉邊界。
+- `docs/security/IWOOOS-PRODUCTION-LANDING-EVIDENCE.md` 追加 2026-06-04 production sanity。
+
+**驗證**：
+- `git diff --check`：通過。
+- `python3 -m json.tool docs/security/iwooos-posture-projection.snapshot.json`：通過。
+- `python3 -m json.tool docs/security/source-control-owner-response-validation-rollup.snapshot.json`：通過。
+- `python3 scripts/security/source-control-owner-response-guard.py --root .`：`SOURCE_CONTROL_OWNER_RESPONSE_GUARD_OK`。
+- `python3 scripts/security/security-mirror-progress-guard.py --root .`：`SECURITY_MIRROR_PROGRESS_GUARD_OK`。
+- Production `/zh-TW/iwooos`：
+  - desktop 1365x900：首屏正常；展開「前台入口與既有資安頁」後，`審查後修正候選`、候選卡與邊界文案可見；`horizontalOverflow=false`。
+  - mobile 390x844：展開「前台入口與既有資安頁」後，`審查後修正候選`、候選卡與邊界文案可見；`horizontalOverflow=false`。
+  - action href 檢查：`/execute`、scan、repo / refs / workflow / secret / primary mutation href 皆為 0。
+  - 截圖：`/private/tmp/iwooos-governance-p0-prod-desktop-summary-open-20260604.png`、`/private/tmp/iwooos-governance-p0-prod-mobile-summary-open-20260604.png`。
+
+**推版狀態**：
+- 本輪 commit：待提交後回填。
+- Gitea run：本輪為 docs / policy / snapshot only，若以 `[skip ci]` 推送則不產生新 run。
+- 最新觀察到的 `gitea/main`：`0260ec89 chore(cd): deploy 973fc7a [skip ci]`。
+- 正式頁驗證 URL：`https://awoooi.wooo.work/zh-TW/iwooos`。
+
+**目前邊界**：
+- IwoooS 整體仍維持 64%；框架 / 只讀證據 / 前台可視化仍維持 92%；runtime landing 仍維持 40-45%。
+- `owner_response_received_count=0`、`owner_response_accepted_count=0`、`active_runtime_gate_count=0`、`github_primary_ready_count=0`。
+- `runtime_execution_authorized=false`、`action_buttons_allowed=false`、`host_update_authorized=false`、`active_scan_authorized=false`。
+
 ## 2026-06-04｜IwoooS 程式碼審查後修正候選納管

 **背景**：上一階段已在 `/zh-TW/code-review` 補上「審查後可交付修正候選」的只讀橋接；本輪把這個狀態回收進 `/zh-TW/iwooos` 的「前台入口與既有資安頁整合」區塊，讓 IwoooS 主入口可以看見程式碼審查後續修正候選，而不是只停在單一頁面。
--- a/docs/security/AWOOOP-MIRROR-ONLY-CONSUMPTION-CHECKLIST.md
+++ b/docs/security/AWOOOP-MIRROR-ONLY-CONSUMPTION-CHECKLIST.md
@@ -2,8 +2,8 @@

 | 項目 | 內容 |
 |------|------|
-| 日期 | 2026-05-17 |
-| 狀態 | 初版，供 AwoooP Session 只讀消費 |
+| 日期 | 2026-06-04 |
+| 狀態 | IwoooS / AwoooP 只讀同步 active checklist |
 | 範圍 | Kali / Code Review / Codex / Gitea / GitHub 資安供應鏈事件 |
 | 低摩擦 policy | `docs/security/SECURITY-LOW-FRICTION-ROLLOUT-POLICY.md` |
 | Contract manifest | `docs/security/SECURITY-SUPPLY-CHAIN-CONTRACT-MANIFEST.md` |
@@ -21,6 +21,20 @@ AwoooP 初期不得直接啟動掃描、不得呼叫 Codex patch runner、不得

 初期也不得把每個 observation 都變成阻擋條件。LOW / MEDIUM 且不涉及不可逆變更的項目，先以 `observe` / `warn` 累積 evidence；缺 owner response、partial mirror、source-control drift、Kali observe finding、workflow / secret name gap 與 headline holding 也只能先建立 follow-up / owner review，不得直接升 runtime blocker。只有 repo creation、visibility change、refs sync、secret、RBAC、NetworkPolicy、firewall、deploy、primary switch 等高風險動作才進 approval。

+## 0.1 2026-06-04 IwoooS 同步規則
+
+AwoooP Session 消費 IwoooS 狀態時，必須同步以下邊界：
+
+| 項目 | 規則 |
+|------|------|
+| commits / runs | 同步 code commit、deploy marker、LOGBOOK commit、Gitea CD / code-review run；若 `gitea/main` 又前進，先重讀最新 delta |
+| production sanity | 同步 `/zh-TW/iwooos` desktop / mobile、水平溢出、展開區塊、候選卡與 S4.9 gate 結果 |
+| S4.9 owner response | 只顯示下一個收件焦點；owner response received / accepted 仍為 0，直到合格回覆通過預檢與人工 reviewer checklist |
+| Code Review 候選 | 可分類為前端體驗、測試補洞、文件同步、低風險重構；人工批准前不得轉成 Codex coding，也不得自動推正式 |
+| AwoooP approval | 只能表示 AwoooP 流程候選或人工邊界，不等於資安批准、不等於 runtime gate |
+| production UI | UI 可見只能當 evidence，不能當 execution authorization |
+| Git 操作 | 不 force push、不 destructive git；若另一個 Session 已更新 main，先同步與比對，不覆蓋 |
+
 ## 1. 允許消費的事件

 | 事件 | 來源 | AwoooP 目標 | 初期狀態 | 必要防護 |
--- a/docs/security/DEV-HOSTS-112-111-168-OBSERVE-ONLY-MAPPING.md
+++ b/docs/security/DEV-HOSTS-112-111-168-OBSERVE-ONLY-MAPPING.md
@@ -2,8 +2,8 @@

 | 項目 | 內容 |
 |------|------|
-| 日期 | 2026-05-06 |
-| 狀態 | 第一版 mapping，尚未寫入 DB / inventory seed |
+| 日期 | 2026-06-04 |
+| 狀態 | observe-only mapping + 維護準備規範；尚未寫入 DB / inventory seed |
 | 範圍 | Kali 資安主機與兩台開發主機 |
 | 上游 | `docs/security/KALI-SECURITY-MESH-BLUEPRINT.md` |

@@ -30,6 +30,26 @@
 | `192.168.0.111` | `host:dev-ai-111` | Local AI / Ollama fallback / 開發輔助主機 | `observe_only` | Dev Host Steward |
 | `192.168.0.168` | `host:dev-workstation-168` | 開發工作站 / local development origin | `observe_only` | Dev Host Steward |

+## 1.1 維護準備欄位
+
+以下欄位只是維護窗口草案的最低資料，不代表批准維護、掃描或主機變更。
+
+| Host | scope | maintenance window | credential handling | rollback owner | validation 指標 |
+|------|-------|--------------------|---------------------|----------------|-----------------|
+| `192.168.0.112` | Kali scanner health、tool version、package posture、`networking.service`、service hardening readiness | 待人工指定；目前不得更新、重啟、hardening 或 active scan | SSH key / token 狀態只可記錄 present / absent；不得保存密碼、token value、private key | Security Supply Chain 指派後才可動作 | scanner health、node exporter、wg-easy、pending updates、failed services、reboot required、post-check screenshot / log ref |
+| `192.168.0.111` | Ollama fallback、model inventory、host reachability、SSH policy posture、fallback readiness | 待人工指定；目前不得停止模型、重啟服務或改 fallback route | 不收模型 API key、SSH 密碼或 private key；只保存脫敏 evidence ref | Dev Host Steward 指派後才可動作 | Ollama route truth、fallback availability、model list hash、service status、AI route smoke |
+| `192.168.0.168` | local development origin、repo hygiene、dev-only CORS、local service exposure | 待人工指定；目前不得 credentialed scan 或讀取未授權目錄 | 不收個人憑證、不讀私有目錄、不保存 secrets value | Dev Host Steward 指派後才可動作 | repo secret scan summary、local service list summary、CORS origin review、rollback / disable note |
+
+## 1.2 目前已知 112 缺口
+
+| 缺口 | 狀態 | 邊界 |
+|------|------|------|
+| 待更新套件 | 約 1994 | 不得直接 `apt upgrade` |
+| `networking.service` | failed | 不得直接 restart |
+| 服務硬化 | 0/4 | 不得直接套 hardening |
+| active scan / `/execute` | 未批准 | 不得由 AwoooP 或 Codex 觸發 |
+| reboot | 未授權 | 需 maintenance window、rollback、post-check |
+
 ## 2. 初期允許盤點項目

 | Host | 允許項目 | 不允許項目 |
@@ -81,3 +101,7 @@ AwoooP 初期不做：
 5. rollback / disable flag 被命名。

 目前尚未開始 DB 實作。
+
+## 6. IwoooS 顯示邊界
+
+IwoooS 可以顯示 112 / 111 / 168 的 observe-only 狀態、維護準備欄位、缺口與下一步，但不得顯示或提供任何會直接觸發主機命令、掃描、更新、重啟、hardening、credentialed scan、firewall/RBAC/NetworkPolicy 修改或 `/execute` 的 action button。
--- a/docs/security/IWOOOS-POSTURE-PROJECTION.md
+++ b/docs/security/IWOOOS-POSTURE-PROJECTION.md
@@ -2,8 +2,8 @@

 | 項目 | 內容 |
 |------|------|
-| 日期 | 2026-05-19 |
-| 狀態 | 草案 |
+| 日期 | 2026-06-04 |
+| 狀態 | 草案；P0 governance 總帳已建立 |
 | Schema | `docs/schemas/iwooos_posture_projection_v1.schema.json` |
 | Snapshot | `docs/security/iwooos-posture-projection.snapshot.json` |
 | 模式 | `mirror_only` |
@@ -15,6 +15,8 @@

 它只允許顯示資安態勢、headline progress、framework / runtime landing、non-blocking lanes、evidence refs 與下一個高層 gate。它不是掃描器、不是修復器、不是 approval gate，也不是 GitHub primary cutover 授權。

+2026-06-04 起，本契約的 P0 推進狀態以 `docs/workplans/2026-06-04-iwooos-security-governance-p0.md` 作為主控板。每個階段必須記錄完成度、優先順序、guard、production desktop / mobile sanity 是否需要執行，以及哪些 gate 仍維持 0 / false。
+
 ## 2. 來源

 IwoooS 首版只讀取或對齊以下已提交 evidence：
@@ -26,6 +28,7 @@ IwoooS 首版只讀取或對齊以下已提交 evidence：
 | `source_control_owner_response_validation_rollup_v1` | owner response 仍為 0、S4.9 下一個收件候選 |
 | `source_control_primary_readiness_gate_v1` | GitHub primary readiness 仍為 0、候選 repo 與切換前置缺口 |
 | `kali_integration_status_v1` | Kali 112 observe-only 整合態勢 |
+| `2026-06-04-iwooos-security-governance-p0.md` | IwoooS P0 完成度、優先順序、跨 Session 同步與驗證節點 |
 | `/iwooos` 前端路由 | 顯示入口，不提供執行按鈕 |
 | 既有前端資安頁面 | 只讀索引，不搬移原頁責任邊界、不新增執行控制 |

--- a/docs/security/IWOOOS-PRODUCTION-LANDING-EVIDENCE.md
+++ b/docs/security/IWOOOS-PRODUCTION-LANDING-EVIDENCE.md
@@ -27,6 +27,21 @@
 | 正式 AwoooP 路由 | `/zh-TW/awooop` |
 | latest main ancestry | `9e15fd08` 仍在最新 `gitea/main` 歷史內 |

+## 2.1 2026-06-04 正式站 sanity 追加
+
+| 證據 | 值 |
+|------|----|
+| 最新觀察到的 `gitea/main` | `0260ec89 chore(cd): deploy 973fc7a [skip ci]` |
+| IwoooS code-review candidate 基準 | code `7b8fc093`、deploy marker `45c63488`、LOGBOOK `02cadee6` |
+| 導航 IA 最新基準 | code `973fc7a4`、LOGBOOK `2555c811`、deploy marker `0260ec89` |
+| 正式路由 | `https://awoooi.wooo.work/zh-TW/iwooos` |
+| desktop sanity | 首屏正常；展開「前台入口與既有資安頁」後 `審查後修正候選` 與邊界文案可見；`horizontalOverflow=false` |
+| mobile sanity | 展開「前台入口與既有資安頁」後 `審查後修正候選` 與邊界文案可見；`horizontalOverflow=false` |
+| action href 檢查 | `/execute`、scan、repo / refs / workflow / secret / primary mutation href 皆為 0 |
+| 截圖 | `/private/tmp/iwooos-governance-p0-prod-desktop-summary-open-20260604.png`、`/private/tmp/iwooos-governance-p0-prod-mobile-summary-open-20260604.png` |
+
+本次 sanity 只確認正式只讀頁仍可見、展開式區塊正常、候選卡未遺失、手機版沒有水平溢出。它不代表 owner response 已收到 / 已接受，也不授權 Kali、SSH、主機更新、active scan、repo / refs / workflow / secret 變更、GitHub primary 或 runtime execution。
+
 ## 3. 本次重估

 | 面向 | 重估前 | 重估後 | 說明 |
--- a/docs/security/SECURITY-LOW-FRICTION-ROLLOUT-POLICY.md
+++ b/docs/security/SECURITY-LOW-FRICTION-ROLLOUT-POLICY.md
@@ -2,8 +2,8 @@

 | 項目 | 內容 |
 |------|------|
-| 日期 | 2026-05-12 |
-| 狀態 | 草案 |
+| 日期 | 2026-06-04 |
+| 狀態 | IwoooS active policy；仍採 observe-first |
 | JSON snapshot | `docs/security/security-rollout-policy.snapshot.json` |
 | Schema | `docs/schemas/security_rollout_policy_v1.schema.json` |
 | 原則 | 初期先建立框架、可見性與追溯性，不把資安限制一次拉到最高 |
@@ -14,6 +14,19 @@

 目標是讓 Kali、Code Review、GitHub、Gitea、Codex、AwoooP 先共享 evidence、狀態與 approval boundary。初期不應把每個 LOW / MEDIUM finding、repo 差異、文件缺口、owner 待定都變成阻擋條件。

+## 0.1 IwoooS 2026-06-04 補充邊界
+
+IwoooS 目前整體維持 64%，框架 / 只讀證據 / 前台可視化維持 92%，runtime landing 維持 40-45%，active runtime gate 維持 0。這些數字只是治理與可視化狀態，不是執行授權。
+
+| 規則 | 說明 |
+|------|------|
+| S4.9 owner response 是第一優先 | owner role / team、decision、decision reason、affected scope、redacted evidence refs、followup owner 都齊全且通過預檢前，received / accepted 維持 0 |
+| AwoooP approval 不是資安批准 | AwoooP 可顯示候選與 approval boundary，但不得把它當 security approval decision record |
+| UI 可見不是 runtime 授權 | IwoooS 卡片、Gate、矩陣、候選狀態只代表可視化，不代表 scan、execute、host update、repo / refs / workflow / secret / primary switch |
+| Code Review 候選只可人工轉派 | 審查後修正候選必須走人工批准，再轉 Codex patch / PR / guard；不得直接自動改 code 或自動 deploy |
+| Kali / 主機維護需獨立窗口 | 192.168.0.112 / 111 / 168 仍先 observe-only；不得直接 `apt upgrade`、restart、hardening、active scan、credentialed scan 或 `/execute` |
+| 跨 Session 必須先同步 | 每次改檔前先 `git fetch gitea`、確認 `gitea/main`、比對另一個 Session 的 commit / run / production evidence；禁止 force push |
+
 ## 1. 四種模式

 | Mode | 用途 | 初期處理 |
--- a/docs/security/SECURITY-SUPPLY-CHAIN-PROGRESS.md
+++ b/docs/security/SECURITY-SUPPLY-CHAIN-PROGRESS.md
@@ -2,12 +2,29 @@

 | 項目 | 內容 |
 |------|------|
-| 日期 | 2026-05-17 |
-| 狀態 | S0/S1 read-only evidence 建置中 |
+| 日期 | 2026-06-04 |
+| 狀態 | IwoooS 64% 只讀治理推進中；S4.9 owner response gate 是第一優先 |
 | 本階段完成 | 資安供應鏈 contract manifest + Source Control Approval Board + Draft Reconcile Plan + Ref Detail Diff + Ref Truth Classification + Source Control Ref Truth Owner Response 收件包 + GitHub Primary Readiness Gate + GitHub Primary Rollback ADR + GitHub Target Owner Decision Response 收件包 + Gitea 認證清冊匯出請求 + Gitea 認證清冊匯入驗收契約 + Gitea 清冊覆蓋 Owner Attestation + Gitea Owner Attestation Approval Lane 對齊 + Gitea Owner Attestation Response 收件包 + Workflow / Secret Name Inventory + Workflow / Secret Name Local Evidence + Workflow / Secret Name Redacted Export Request + Workflow / Secret Name Owner Response 收件包 + Source Control Owner Response Validation Rollup + Kali 112 live integration status + Security Finding contract + Kali scan scope approval package + Security Approval Queue + S3 人工批准 Gate + S3 人工決策紀錄 + S3 人工審查封包 + S3 人工決策狀態轉移 + S3 後續 runtime gate 準備契約 + 鏡像 readiness index + 鏡像接收計畫 + 鏡像事件信封 + 鏡像路由矩陣 + 鏡像驗收契約 + 鏡像隔離契約 + 鏡像 dry-run 報告契約 + 鏡像狀態彙整契約 + IwoooS 前端態勢入口 + IwoooS posture projection contract + IwoooS 既有前端資安頁面整合 + IwoooS 覆蓋與邊界矩陣 + IwoooS 只讀資安處理旅程 + IwoooS owner evidence readiness board + IwoooS host coverage view + IwoooS host action gate matrix + IwoooS host evidence readiness board + IwoooS host evidence collection order + IwoooS host evidence intake preflight + IwoooS host evidence review outcome lanes + IwoooS host evidence review handoff packets + IwoooS host evidence reviewer checklist + IwoooS host evidence reviewer outcome lanes + IwoooS host owner decision candidate packets + IwoooS host owner decision review checklist + IwoooS host owner decision review outcome lanes + IwoooS host owner decision record draft packets + IwoooS host owner decision record draft review checklist + IwoooS host owner decision record draft review outcome lanes + IwoooS host owner decision record write-up packets + IwoooS host owner decision record write-up review checklist + IwoooS host owner decision record write-up review outcome lanes + IwoooS host owner decision record formal candidate packets + IwoooS host owner decision record formal candidate review checklist + IwoooS host owner decision record formal candidate review outcome lanes + IwoooS host owner decision record formal record queue packets + IwoooS host owner decision record formal record queue review checklist + IwoooS host owner decision record formal record queue review outcome lanes + IwoooS host owner decision record human handoff readiness packets + IwoooS host owner decision record human handoff readiness review checklist + IwoooS host owner decision record human handoff readiness review outcome lanes + IwoooS host owner decision record human record owner review candidate packets + IwoooS host owner decision record human record owner review candidate checklist + IwoooS host owner decision record human record owner review candidate outcome lanes + IwoooS host owner decision record human record owner review preparation packets + IwoooS host owner decision record human record owner review preparation checklist + IwoooS progress acceleration lanes + IwoooS owner response next-action focus + IwoooS S4.9 owner response preflight + IwoooS S4.9 owner response request templates + IwoooS progress hold movement gates + IwoooS AwoooP read-only landing readiness + IwoooS AwoooP cross-session handoff packets + AwoooP 首頁 IwoooS 資安鏡像候選 + AwoooP 工作鏈路 IwoooS 資安鏡像候選 + AwoooP 審批佇列 IwoooS owner response 只讀焦點 |
 | 本階段追加 | AwoooP 合約儀表板 IwoooS 資安契約只讀候選 + AwoooP 租戶管理 IwoooS 資安租戶範圍只讀候選 + AwoooP 執行監控 IwoooS 執行狀態只讀候選 + 既有安全 / 合規頁面 IwoooS 只讀反向橋接 + 告警 / 錯誤 / 授權 / 治理頁面 IwoooS 只讀反向橋接 + 稽核 / 工程審查頁面 IwoooS 深色只讀反向橋接 + IwoooS 前端資安頁面連接狀態板 + IwoooS GitHub 主要來源就緒度只讀狀態板 + AwoooP 工作鏈路 GitHub 主要來源就緒度只讀工作項 + AwoooP 合約儀表板 GitHub 主要來源就緒度合約只讀候選 + AwoooP 審批佇列 GitHub 主要來源就緒度審批邊界 + AwoooP 首頁 GitHub 主要來源就緒度只讀摘要 + AwoooP 租戶管理 GitHub 主要來源就緒度租戶範圍 + AwoooP 執行監控 GitHub 主要來源就緒度執行邊界 + IwoooS / AwoooP 資安可視區塊繁體中文呈現防護檢查 + AwoooP 執行詳情 / 審批詳情繁體中文呈現防護檢查 + AwoooP 首頁負責人回覆驗收總覽 + AwoooP 工作鏈路負責人回覆驗收只讀工作項 + AwoooP 合約儀表板負責人回覆驗收契約只讀候選 + AwoooP 審批佇列負責人回覆驗收只讀審查邊界 + AwoooP 租戶管理負責人回覆驗收租戶範圍 + AwoooP 執行監控負責人回覆驗收執行邊界 + AwoooP 執行詳情負責人回覆驗收詳情邊界 + AwoooP 審批決策負責人回覆驗收審批邊界 + IwoooS AwoooP 資安入口覆蓋狀態板 + IwoooS 階段式資安收斂節奏圖 + IwoooS 下一步人工收件作戰板 + IwoooS 人工回覆安全驗收閘道 + IwoooS 人工回覆審查結果分流 + IwoooS 人工決策準備佇列 + IwoooS 人工決策紀錄草稿防誤用 + IwoooS 人工決策正式紀錄負責人指派確認準備包 + IwoooS 人工決策正式紀錄負責人指派確認清單 + IwoooS 人工決策正式紀錄負責人指派確認結果分流 + IwoooS 人工決策正式紀錄負責人指派決策準備包 + IwoooS 人工決策正式紀錄負責人指派決策檢查清單 + IwoooS S4.9 負責人回覆封套欄位 + IwoooS S4.9 負責人回覆封套送件前檢查 + IwoooS S4.9 負責人回覆封套送件前結果分流 + IwoooS S4.9 負責人回覆送件請求草稿 + IwoooS S4.9 負責人回覆送件鏈路摘要 + IwoooS 低摩擦分階段收斂主控 + IwoooS 低摩擦下一步行動邊界 + IwoooS 64% 進度移動訊號驗收條 + IwoooS 第一個進度解鎖路徑 + IwoooS 第一解鎖證據包 + IwoooS 第一解鎖證據包預檢分流 + IwoooS 第一解鎖證據包補件路徑 + IwoooS 第一解鎖證據包補件送審前檢查 + IwoooS 第一解鎖證據包補件送審結果分流 + IwoooS 第一解鎖證據包 reviewer 指派準備包 + IwoooS 第一解鎖證據包 reviewer 指派前檢查 + IwoooS 第一解鎖證據包 reviewer 指派前檢查結果分流 + IwoooS 正式只讀 landing 與 Kali 112 只讀證據進度重估 |
 | 本階段追加補充 | IwoooS 目前具體工作地圖 + IwoooS 目前具體交付清單 + IwoooS 目前阻塞與解除條件 + IwoooS 三軸進度與全產品套用範圍 + IwoooS 全產品分階段套用台帳 + IwoooS 全產品 rollout 波次驗收門檻 + IwoooS 全產品 rollout 驗收結果分流 + IwoooS 全產品證據接線地圖 + IwoooS 全產品證據接線預檢 + IwoooS 全產品證據接線預檢結果分流 + IwoooS 全產品預檢補件回收台帳 + IwoooS 全產品補件重試門檻 + IwoooS 全產品重試結果分流 + IwoooS 全產品人工審查候選準備 + IwoooS 全產品人工審查候選預檢 + IwoooS 全產品人工審查候選預檢結果分流 + IwoooS 全產品人工審查候選預檢補件回收台帳 + IwoooS 全產品人工審查候選預檢補件重試門檻 + IwoooS 全產品只讀套用快照 |
 | 原則 | 低摩擦分階段；文件、schema、read-only evidence 優先；不做 runtime enforcement、不切 primary |
+| P0 主控板 | `docs/workplans/2026-06-04-iwooos-security-governance-p0.md` |
+
+## 0.0 2026-06-04 IwoooS P0 狀態邊界
+
+本輪工作只推進 IwoooS 規範、總帳、owner response gate 與跨 Session 同步邊界，不代表 runtime、Kali、GitHub primary 或 AwoooP execution 已授權。
+
+| 面向 | 目前狀態 | 可否調高 |
+|------|----------|----------|
+| IwoooS 整體 | 64% | 否；S4.9 未收到 / 未接受前不得調高 |
+| 框架 / 只讀證據 / 前台可視化 | 92% | 否；本輪只補治理與驗證流程 |
+| runtime landing | 40-45% | 否；只讀頁可見不等於 runtime ingestion |
+| active runtime gate | 0 | 否；必須維持 0 |
+| owner response received / accepted | 0 / 0 | 否；只有合格 owner response 通過預檢與 reviewer checklist 後才可變更 |
+| GitHub primary ready | 0 | 否；只讀盤點不建立 repo、不同步 refs、不切 primary |
+| Kali 112 | 已納入只讀證據；完整維護未開始 | 否；不更新、不重啟、不 hardening、不 active scan |
+
+P0 執行順序固定為：先同步 `gitea/main` 與另一個 AwoooP Session，再確認乾淨 worktree，然後只做 docs / snapshot / guard 類變更。每個可部署階段完成後才可進 production desktop / mobile sanity；純文件階段至少要跑相關只讀 guard 與 `git diff --check`。

 ## 0. 本階段完成後整體進度

--- a/docs/security/SOURCE-CONTROL-OWNER-RESPONSE-VALIDATION-ROLLUP.md
+++ b/docs/security/SOURCE-CONTROL-OWNER-RESPONSE-VALIDATION-ROLLUP.md
@@ -2,8 +2,8 @@

 | 項目 | 內容 |
 |------|------|
-| 日期 | 2026-05-19 |
-| 狀態 | 草案，等待 owner responses |
+| 日期 | 2026-06-04 |
+| 狀態 | 草案，等待 owner responses；S4.9 是目前第一優先收件 gate |
 | 資料契約 | `docs/schemas/source_control_owner_response_validation_rollup_v1.schema.json` |
 | 快照 | `docs/security/source-control-owner-response-validation-rollup.snapshot.json` |
 | 模式 | `owner_response_validation_rollup_only` |
@@ -56,9 +56,9 @@ S4.13 不新增第 36 個主 contract，不新增 approval item，不啟用 runt

 | 項目 | 結果 |
 |------|------|
-| 日期 | 2026-05-19 |
+| 日期 | 2026-06-04 |
 | 範圍 | `repo_snapshot_only` |
-| 指令 | `python3 scripts/security/source-control-owner-response-guard.py` |
+| 指令 | `python3 scripts/security/source-control-owner-response-guard.py --root .` |
 | 結果 | `SOURCE_CONTROL_OWNER_RESPONSE_GUARD_OK` |
 | 已收到 response | 0 |
 | 已接受 response | 0 |
@@ -111,6 +111,21 @@ S4.13 不新增第 36 個主 contract，不新增 approval item，不啟用 runt

 AwoooP 顯示 S4.9 時，應同步讀取 `gitea-inventory-owner-attestation-response.snapshot.json` 的 1 個 owner response request packet、5 個 template statuses、3 個 audit event templates、5 個 redaction examples、8 個 display sections、6 個 collection checks、6 個 intake preflight checks 與 5 個 outcome lanes；request packet 只提示 owner 要填什麼與不得貼什麼，template statuses 只逐項顯示 waiting / request ready，audit event templates 只定義 request shown / response received metadata / outcome classified 的脫敏 metadata 欄位且目前 0 emitted，redaction examples 只提供安全回覆形狀，display sections 只固定只讀 UI 順序，collection checks 只維持 request / received / accepted 狀態分離，preflight / outcome 只分類可審、補證、隔離、拒收或等待，不代表 owner response accepted 或 AwoooP production ingestion 已啟用。

+## 2.4 S4.9 最小回覆封套
+
+S4.9 owner response 收件前，必須具備以下六個欄位。缺任一欄位只能補件，不得增加 received / accepted count。
+
+| 欄位 | 用途 | 安全邊界 |
+|------|------|----------|
+| owner role / team | 確認回覆責任來源 | 不要求個人敏感資料 |
+| decision | `confirm`、`defer`、`reject`、`request_more_evidence` | 其他 decision 直接拒收 |
+| decision reason | 簡述判斷原因 | 不得貼 raw secret、token、cookie、未脫敏截圖或 private URL credential |
+| affected scope | 影響的 repo、Gitea coverage、canonical owner 或 legacy disposition | 不得夾帶 repo write、refs sync、visibility change |
+| redacted evidence refs | 文件路徑、ticket id、hash、摘要或脫敏 evidence ref | 疑似敏感 payload 進 quarantine |
+| followup owner | 補件或後續人工決策負責角色 | 不等於批准者、不等於 runtime gate owner |
+
+S4.9 回覆即使通過，也只允許更新 read-only Gitea coverage matrix、owner / canonical disposition 與 readiness wording；不得寫 Gitea、不得同步 refs、不得建立 GitHub repo、不得切 GitHub primary，也不得啟用任何 AwoooP action button。
+
 ## 3. Cross-Packet 驗收規則

 1. 四個 source response packets 都必須可解析，且 summary 欄位存在。
--- a/docs/security/iwooos-posture-projection.snapshot.json
+++ b/docs/security/iwooos-posture-projection.snapshot.json
@@ -1,7 +1,7 @@
 {
  "schema_version": "iwooos_posture_projection_v1",
  "status": "draft",
-  "date": "2026-05-19",
+  "date": "2026-06-04",
  "product_id": "iwooos",
  "display_name": "IwoooS",
  "mode": "mirror_only",
@@ -13,6 +13,7 @@
    "docs/security/GITEA-INVENTORY-OWNER-ATTESTATION-REQUEST-DRAFT.md",
    "docs/security/gitea-inventory-owner-attestation-request-draft.snapshot.json",
    "docs/security/kali-integration-status.snapshot.json",
+    "docs/workplans/2026-06-04-iwooos-security-governance-p0.md",
    "apps/web/src/app/[locale]/iwooos/page.tsx",
    "apps/web/src/app/[locale]/security-compliance/page.tsx",
    "apps/web/src/app/[locale]/security/page.tsx",
--- a/docs/security/source-control-owner-response-validation-rollup.snapshot.json
+++ b/docs/security/source-control-owner-response-validation-rollup.snapshot.json
@@ -1,7 +1,7 @@
 {
  "schema_version": "source_control_owner_response_validation_rollup_v1",
  "status": "draft_waiting_owner_responses",
-  "date": "2026-05-19",
+  "date": "2026-06-04",
  "mode": "owner_response_validation_rollup_only",
  "runtime_execution_authorized": false,
  "source_contracts": [
@@ -2241,9 +2241,9 @@
  },
  "latest_local_validation": {
    "status": "repo_snapshot_guard_pass",
-    "date": "2026-05-19",
+    "date": "2026-06-04",
    "scope": "repo_snapshot_only",
-    "command": "python3 scripts/security/source-control-owner-response-guard.py",
+    "command": "python3 scripts/security/source-control-owner-response-guard.py --root .",
    "result": "SOURCE_CONTROL_OWNER_RESPONSE_GUARD_OK",
    "validated_lanes": [
      "s4_9_gitea_inventory_owner_attestation_response",
--- a/docs/workplans/2026-06-04-iwooos-security-governance-p0.md
+++ b/docs/workplans/2026-06-04-iwooos-security-governance-p0.md
@@ -0,0 +1,156 @@
+# 2026-06-04 IwoooS 資安治理 P0 推進總帳
+
+> 本文件是本工作視窗推進 IwoooS 分支專案的 P0 主控板。所有內容維持繁體中文、只讀證據優先、低摩擦分階段收斂。它不是 runtime 授權、不是 Kali active scan 授權、不是 GitHub primary 切換授權，也不是自動修復授權。
+
+## 0. 當前同步基線
+
+| 項目 | 目前值 |
+|------|--------|
+| 工作視窗 | IwoooS / AWOOOI 資安治理 P0 |
+| 本次乾淨 worktree | `/private/tmp/awoooi-iwooos-governance-p0-20260604` |
+| 本次分支 | `codex/iwooos-governance-p0-20260604` |
+| 最新觀察到的 `gitea/main` | `0260ec89 chore(cd): deploy 973fc7a [skip ci]` |
+| 前一個正式 IwoooS 候選基準 | code `7b8fc093`、deploy marker `45c63488`、LOGBOOK `02cadee6` |
+| 最新導航 IA 基準 | code `973fc7a4`、LOGBOOK `2555c811`、deploy marker `0260ec89` |
+| 禁止事項 | 不 force push、不 destructive git、不 SSH 修改主機、不 active scan、不收 secrets 明文、不把 AwoooP approval 當資安批准、不把 UI 可見當 runtime 授權 |
+
+## 1. 完成度總表
+
+| 面向 | 目前完成度 | 本輪是否可調高 | 判讀 |
+|------|------------|----------------|------|
+| IwoooS 整體 | 64% | 否 | 本輪先補治理總帳與 Gate 規範，不代表 owner response accepted 或 runtime gate 開啟 |
+| 框架 / 只讀證據 / 前台可視化 | 92% | 否 | 框架已成熟，但仍需 owner response 與 redacted evidence 進一步驗收 |
+| runtime landing | 40-45% | 否 | production 只讀頁存在，不等於 runtime ingestion 或 execution router |
+| active runtime gate | 0 | 否 | 必須維持 0，直到獨立人工批准、rollback、post-check 與 guard 成立 |
+| S4.9 owner response gate | 0% | 可在收到合格回覆後調整 | 目前只定義欄位、預檢、收件與驗收，不標記 received / accepted |
+| GitHub primary readiness | 0 | 否 | 目前只讀盤點，不建立 repo、不同步 refs、不切 primary |
+| Kali 112 維護準備 | 只讀證據已納管，維護尚未開始 | 否 | 不更新套件、不重啟、不 hardening、不 active scan |
+| 111 / 168 開發主機納管 | observe-only mapping 已有，維護包需補強 | 可補文件，不調 runtime | 仍不 credentialed scan、不讀未授權資料、不自動修復 |
+| VibeWork 納入 IwoooS | 前端態勢已有 onboarding 欄位，產品邊界需補規範 | 可補文件 | 保留 VibeWork 獨立產品邊界 |
+
+## 2. P0 工作拆解與優先順序
+
+| 優先 | 工作 | 完成度 | 下一步 | 必要驗證 |
+|------|------|--------|--------|----------|
+| P0-0 | 跨 Session 同步與乾淨 worktree | 100% | 每次改檔前重新 `git fetch gitea` 與檢查 `gitea/main` | `git status --short --branch`、`git log --oneline -8 gitea/main` |
+| P0-1 | IwoooS 狀態總帳 | 100% | 本文件已落地；後續每階段只更新同一總帳與 LOGBOOK | Markdown 檢查、guard、不調高 0 / false gate |
+| P0-2 | S4.9 owner response gate | 100% | 欄位、預檢、收件、驗收、拒收與補件條件已固定成人類可讀規範 | `source-control-owner-response-guard.py --root .` 通過 |
+| P0-3 | AwoooP 同步封包 | 90% | 同步內容已固定；缺後續實際 AwoooP Session readback | 本文件與 mirror checklist readback |
+| P0-4 | production live sanity 節點 | 100% | desktop / mobile / 展開區塊 / overflow / action href 檢查已完成 | Playwright production sanity 通過 |
+| P0-5 | LOGBOOK 與完成度更新 | 90% | LOGBOOK 本輪將同步記錄；Gitea run 需等實際 push 後回填 | `docs/LOGBOOK.md` readback |
+
+## 3. S4.9 Owner Response Gate 規範
+
+S4.9 是目前 IwoooS 64% 能往前的第一優先 gate。驗收前所有 count 必須維持 `0`，所有授權 flag 必須維持 `false`。
+
+### 3.1 必填封套欄位
+
+| 欄位 | 說明 | 缺漏時處理 |
+|------|------|------------|
+| `owner_role_or_team` | 負責角色或團隊，不需要個人敏感資料 | 補件，不增加 received |
+| `decision` | 允許值：`confirm`、`defer`、`reject`、`request_more_evidence` | 非允許值直接拒收 |
+| `decision_reason` | 決策理由摘要，不得貼 raw secret、token、cookie 或未脫敏截圖 | 補件或隔離 |
+| `affected_scope` | 影響範圍，例如 repo 群、Gitea coverage、canonical owner、legacy disposition | 補件 |
+| `redacted_evidence_refs` | 只接受文件路徑、ticket id、hash、摘要或脫敏 evidence ref | 疑似敏感 payload 進 quarantine |
+| `followup_owner` | 後續補證或決策負責人 | 補件 |
+
+### 3.2 驗收前禁止誤用
+
+| 禁止誤用 | 規則 |
+|----------|------|
+| 把 request template 當已送件 | `request_sent_count` 必須維持 0，除非有人工送件紀錄 |
+| 把 owner 回覆候選當 accepted | `accepted_response_count` 必須維持 0，直到預檢、跨包一致性與 reviewer checklist 通過 |
+| 把 AwoooP approval 當資安批准 | AwoooP approval 只能是只讀候選或人工流程入口，不等於 security approval decision record |
+| 把 UI 可見當 runtime 授權 | 前端卡片、Gate、矩陣、候選狀態都不是 execution router |
+| 收 secrets 明文 | token、secret、private key、cookie、session、authorization header、runner token、webhook secret 全部拒收或隔離 |
+| 夾帶執行要求 | repo 建立、visibility change、refs sync、workflow 修改、runner 啟用、Kali scan、`/execute`、host update 全部 hard reject |
+
+## 4. 驗證節點規則
+
+| 階段類型 | 必跑驗證 | 是否需要實際開頁 |
+|----------|----------|------------------|
+| 純文件 / 總帳更新 | `git diff --check`、相關 guard | 不一定，但若文件聲稱 production 狀態，必須開頁 |
+| snapshot / guard 更新 | `python3 scripts/security/security-mirror-progress-guard.py --root .`、`python3 scripts/security/source-control-owner-response-guard.py --root .` | 不一定 |
+| 前端 IwoooS UX 更新 | i18n JSON parse、TypeScript、build、desktop/mobile browser smoke | 必須開 local preview，部署後也要開 production |
+| production 聲明更新 | Gitea run、deploy marker、HTML readback、desktop/mobile、水平溢出、相關展開區塊 | 必須開 production |
+| Kali / 主機維護準備 | 只讀文件與 maintenance window 檢查 | 不開 active scan；不得 SSH 改主機 |
+| runtime / execution gate | 人工批准、rollback、post-check、disable plan、guard、production readback | 必須開 production，且不得只靠 UI |
+
+### 4.1 `/zh-TW/iwooos` live sanity 清單
+
+1. 首屏正常回應，HTTP 200。
+2. 頁面仍顯示 IwoooS 主入口，不拆出第二個「安全合規」孤島入口。
+3. 「前台入口與既有資安頁整合」可展開且文案正常。
+4. 「審查後修正候選」可見。
+5. S4.9 / owner response / active runtime gate 仍顯示 0 或 false。
+6. desktop 與 mobile `horizontalOverflow=0`。
+7. 無 action button 觸發 scan、execute、host update、repo / refs / workflow / secret / primary switch。
+
+## 5. AwoooP Session 同步封包
+
+每次階段完成後，同步另一個 AwoooP Session 時至少包含：
+
+| 類別 | 必填 |
+|------|------|
+| commits | 最新 source commit、deploy marker、LOGBOOK commit、是否包含上一階段基準 |
+| runs | Gitea CD / code-review run id 與狀態 |
+| production | URL、desktop / mobile sanity、overflow、展開區塊結果 |
+| gate | IwoooS 整體%、framework%、runtime landing%、active runtime gate、owner response count |
+| 邊界 | 未授權事項、不可誤讀事項、下一個 gate |
+| 衝突處理 | 如果 `gitea/main` 前進，先重讀 latest delta，不 rebase 到不明狀態、不 force push |
+
+## 6. P1 / P2 / P3 後續待辦
+
+| 優先 | 工作 | 細項 | 驗證 |
+|------|------|------|------|
+| P1 | GitHub primary readiness 只讀重盤 | repo visibility、refs、tags、workflow、secret name、runner、rollback ADR | 只讀 inventory；不建立 repo、不同步 refs |
+| P1 | Kali 112 維護窗口草案 | 1994 pending updates、`networking.service` failed、服務硬化 0/4、rollback、post-check | 文件與人工批准；不 `apt upgrade`、不 restart |
+| P1 | 111 / 168 主機 scope 補強 | scope、maintenance window、credential handling、rollback owner、validation 指標 | observe-only；不 credentialed scan |
+| P1 | VibeWork 納入 IwoooS | repo、product、surface、owner、evidence refs、獨立產品邊界 | 繁中 docs/specs；不合併產品責任 |
+| P1 | Code Review 候選分類 | 前端體驗、測試補洞、文件同步、低風險重構；人工批准後才 Codex | 候選不自動改 code、不自動 deploy |
+| P2 | IwoooS UX 精簡 | 首屏摘要、圖、矩陣、Gate；長證據改展開式 | desktop/mobile 開頁、overflow |
+| P2 | 資安圖表專業化 | 主拓樸圖、攻擊路徑圖、主機 / 產品 / 版本來源關聯圖、Gate flow | local + production browser |
+| P2 | 全站繁中檢查 | `zh-TW` 與鏡像內容繁中；不得放內部對話或抱怨 | i18n parse、頁面抽查 |
+| P3 | AI Agent 評估 | NemoTron / Hermes / OpenClaw / ElephantAlpha dry-run、benchmark、成本、安全邊界 | 不切 production |
+| P3 | runtime gate 收斂 | owner evidence、人工批准、rollback、disable、post-check | production truth，不只 UI |
+
+## 7. 2026-06-04 本輪驗證紀錄
+
+| 驗證 | 結果 |
+|------|------|
+| `git diff --check` | 通過 |
+| `python3 -m json.tool docs/security/iwooos-posture-projection.snapshot.json` | 通過 |
+| `python3 -m json.tool docs/security/source-control-owner-response-validation-rollup.snapshot.json` | 通過 |
+| `python3 scripts/security/source-control-owner-response-guard.py --root .` | `SOURCE_CONTROL_OWNER_RESPONSE_GUARD_OK` |
+| `python3 scripts/security/security-mirror-progress-guard.py --root .` | `SECURITY_MIRROR_PROGRESS_GUARD_OK` |
+| production desktop `/zh-TW/iwooos` | HTTP / DOM 正常；展開「前台入口與既有資安頁」後候選卡可見；`horizontalOverflow=false` |
+| production mobile `/zh-TW/iwooos` | 展開「前台入口與既有資安頁」後候選卡可見；`horizontalOverflow=false` |
+| action href 檢查 | `/execute`、scan、repo / refs / workflow / secret / primary mutation href 皆為 0 |
+| 截圖 | `/private/tmp/iwooos-governance-p0-prod-desktop-summary-open-20260604.png`、`/private/tmp/iwooos-governance-p0-prod-mobile-summary-open-20260604.png` |
+
+本輪驗證後仍維持：
+
+```text
+owner_response_received_count=0
+owner_response_accepted_count=0
+active_runtime_gate_count=0
+github_primary_ready_count=0
+runtime_execution_authorized=false
+action_buttons_allowed=false
+host_update_authorized=false
+active_scan_authorized=false
+```
+
+## 8. 本輪狀態更新格式
+
+每個階段完成後用以下格式更新：
+
+```text
+階段：
+完成度：
+已完成：
+驗證：
+production 頁面檢查：
+仍維持 0 / false 的 gate：
+下一步：
+```