feat(iwooos): expose high-value config control coverage

docs/LOGBOOK.md

@@ -46795,3 +46795,44 @@ production browser smoke:
 - DR credential escrow evidence 仍缺 `5`：不得宣稱 `DR_COMPLETE`。
 - Wazuh manager registry accepted 仍為 `0`：不得宣稱 Wazuh 全主機納管恢復。
 - Runtime action / host write / credential marker write / Wazuh active response / Kali active scan 仍全部 `0 / false`。
+
+## 2026-06-27 — 13:11 IwoooS 高價值配置控管 API 化本地完成
+
+**時間與來源**：
+- 2026-06-27 13:11 Asia/Taipei。
+- 來源：`docs/security/high-value-config-control-coverage.snapshot.json`、新增 `apps/api/src/services/iwooos_high_value_config_control_coverage.py`、`GET /api/v1/iwooos/high-value-config-control-coverage`、`apps/web/src/app/[locale]/iwooos/page.tsx`、`scripts/security/iwooos-config-control-guard.py`。
+
+**完成內容**：
+- 將高價值配置控管 snapshot 做成 IwoooS 公開安全只讀 API：`GET /api/v1/iwooos/high-value-config-control-coverage`。
+- API 只回傳公開安全投影，優先順序固定為 Nginx / 公開入口、DNS / TLS、K8s / ArgoCD、secret metadata、Gitea workflow / runner / source control、公開 / 後台 / API runtime config。
+- 前台「高價值配置覆蓋矩陣」改為讀取只讀 API；API 未回時才使用靜態 fallback，且前台只顯示繁中 label、覆蓋率、下一步收件與固定邊界，不顯示 raw status、內網 IP、個人 namespace、工作視窗內容或 secret。
+- `scripts/security/iwooos-config-control-guard.py` 新增 API / 前台讀回路徑檢查，要求 service、router、test、API client 與 IwoooS 頁面都存在對應標記。
+- 新增 API 測試，驗證 Nginx 被排為第一優先、owner response / runtime gate / action button 維持 0、公開輸出不含內網 IP、工作視窗內容、`source_thread_id`、個人 repo namespace 或 raw Wazuh payload。
+
+**本地驗證結果**：
+- `python3 -m py_compile apps/api/src/services/iwooos_high_value_config_control_coverage.py apps/api/src/api/v1/iwooos.py scripts/security/iwooos-config-control-guard.py`：通過。
+- `python3 -m json.tool apps/web/messages/zh-TW.json`、`python3 -m json.tool apps/web/messages/en.json`：通過。
+- `env DATABASE_URL=postgresql+asyncpg://test:test@localhost:5432/test MIGRATION_DATABASE_URL=postgresql://test:test@localhost:5432/test REDIS_URL=redis://localhost:6379/0 JWT_SECRET=test WEBHOOK_HMAC_SECRET=test AWOOOP_OPERATOR_API_KEY=test pytest apps/api/tests/test_iwooos_high_value_config_control_coverage.py apps/api/tests/test_iwooos_security_control_coverage.py apps/api/tests/test_iwooos_runtime_security_readback.py`：`12 passed`。
+- `python3 scripts/security/iwooos-config-control-guard.py --root .`：`IWOOOS_CONFIG_CONTROL_GUARD_OK`。
+- `python3 scripts/security/iwooos-frontend-display-redaction-guard.py --root .`：`IWOOOS_FRONTEND_DISPLAY_REDACTION_GUARD_OK`。
+- `pnpm --dir apps/web typecheck`：通過。
+- `python3 scripts/security/security-mirror-progress-guard.py --root .`：`SECURITY_MIRROR_PROGRESS_GUARD_OK`。
+- `git diff --check`：通過。
+
+**完成度與同步狀態**：
+- 本段「高價值配置控管 API 化 / 前台動態讀回」：`85% -> 100%` 本地完成，待 commit / push / CD / production readback。
+- IwoooS 整體：保守維持約 `64-65%`，因為此段提高配置控管可視性，但不代表 runtime 授權或 live 修復完成。
+- 高價值配置控管框架：`92% -> 94%`，Nginx / DNS / K8s / secret / runner / runtime config 已可被 IwoooS 前台動態讀回。
+
+**仍維持 0 / false**：
+- `owner_response_received_count=0`、`owner_response_accepted_count=0`、`runtime_gate_count=0`、`action_button_count=0`。
+- `runtime_execution_authorized=false`、`host_write_authorized=false`、`nginx_reload_authorized=false`、`argocd_sync_authorized=false`、`kubectl_action_authorized=false`、`workflow_modification_authorized=false`、`runner_change_authorized=false`、`secret_value_collection_allowed=false`、`backup_run_authorized=false`、`restore_run_authorized=false`、`active_scan_authorized=false`。
+
+**做過的命令類型**：
+- 寫入：repo API service / router / tests / frontend API client / IwoooS page / i18n / guard / LOGBOOK。
+- 只讀：snapshot readback、本地測試與 source guard。
+- 未做：沒有 host / Docker / systemd / Nginx / firewall / K8s / DB / Wazuh runtime 寫操作；沒有讀 secret 明文；沒有 Nginx reload；沒有 ArgoCD sync；沒有 workflow 修改；沒有 Wazuh active response；沒有 Kali active scan。
+
+**下一步**：
+- commit / push 後等待 Gitea CD；CD 完成後驗證正式 API schema、Nginx 第一優先、前台桌機 / 手機無水平溢出、禁止字串不出現。
+- 下一個 P0 仍是 owner-provided redacted evidence intake、Wazuh manager registry accepted、Nginx live diff evidence gate 與 controlled apply 前置 verifier。