From 3e30807ce3ef878f2c3f7d045b345de22c087e0d Mon Sep 17 00:00:00 2001 From: Your Name Date: Tue, 16 Jun 2026 12:37:45 +0800 Subject: [PATCH] =?UTF-8?q?docs(iwooos):=20=E8=A3=9C=E8=A8=98=20CD=20runne?= =?UTF-8?q?r=20secret=20=E6=AD=A3=E5=BC=8F=E9=A9=97=E8=AD=89=20[skip=20ci]?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit --- docs/LOGBOOK.md | 36 ++++++++++++++++++++++++++++++++++++ 1 file changed, 36 insertions(+) diff --git a/docs/LOGBOOK.md b/docs/LOGBOOK.md index d1ef94b27..114e2d844 100644 --- a/docs/LOGBOOK.md +++ b/docs/LOGBOOK.md @@ -1,3 +1,39 @@ +## 2026-06-16｜IwoooS CD / Runner / Secret 回讀 Gate 正式部署驗證 + +**背景**：上一段 CD / Runner / Secret 注入事故後回讀 gate 已完成 repo 內 artifact / guard / 前台 marker，但一度被 CD run `3071` 的 Docker build lock timeout 擋住，不能宣告 production 完成。後續另一個 Session 記錄 empty lock cleanup evidence，並以 `97b66a0e` 前端 locale commit 觸發正式 CD；本視窗只做只讀 Actions / production 回讀與 LOGBOOK 同步，未 SSH、未 Docker / host live write、未 workflow dispatch、未改 runner 或 repository secret。 + +**Gitea / CD**： +- Feature commit：`bb459d59 feat(iwooos): 新增 CD runner secret 事故回讀 gate`。 +- LOGBOOK blocker commit：`c9b4363b docs(iwooos): 記錄 CD runner lock 阻塞 [skip ci]`。 +- Recovery trigger commit：`97b66a0e fix(governance): 強化日週月報主看板前段提示`。 +- Code-review run：`3074` 成功。 +- CD run：`3073` 成功；build-and-deploy job 確認 Docker build lock acquired / released、image pushed、ArgoCD `Synced / Healthy`、`awoooi-api` / `awoooi-web` / `awoooi-worker` rollout 成功、API health 通過、post-deploy smoke `5 passed`。 +- Deploy marker：`bd66e264 chore(cd): deploy 97b66a0 [skip ci]`。 +- 後續 LOGBOOK commit：`1ce36cb2 docs(governance): 補記日週月報正式驗證 [skip ci]`。 + +**Production 驗證**： +- HTML readback：`https://awoooi.wooo.work/zh-TW/iwooos?_v=bd66e264-iwooos-cd-runner-secret-prod` 回 `200`，CD / runner / secret post-incident readback 必要 marker 缺漏 `0`。 +- 命中的 IwoooS marker：`cd_runner_secret_injection_post_incident_readback_plan_candidate_count=5`、`cd_runner_secret_injection_post_incident_readback_plan_blocked_action_count=52`、`secret_metadata_coverage_percent=70`、`gitea_workflow_runner_source_control_coverage_percent=74`、`cd_runner_secret_injection_post_incident_readback_plan_runtime_gate_count=0`。 +- Chrome desktop `1440x1100`：`/zh-TW/iwooos?_v=bd66e264-iwooos-cd-runner-secret-prod-cdp` marker 全部命中，敏感 / 內部協作片語命中 `0`，`horizontalOverflow=false`，`scrollWidth=1434`，`clientWidth=1434`。 +- Chrome mobile `390x844`：`/zh-TW/iwooos?_v=bd66e264-iwooos-cd-runner-secret-prod-cdp` marker 全部命中，敏感 / 內部協作片語命中 `0`，`horizontalOverflow=false`，`scrollWidth=390`，`clientWidth=390`。 +- Governance automation inventory：`/zh-TW/governance?tab=automation-inventory&_v=bd66e264-governance-reports-prod-cdp` 在 desktop / mobile 均命中 `日報 / 週報 / 月報`、`報告可見`、`AI Agent`、`Telegram`、`live`，敏感 / 內部協作片語命中 `0`，`horizontalOverflow=false`。 +- AwoooP tenants：`/zh-TW/awooop/tenants?_v=bd66e264-tenants-redaction-prod-cdp` 在 desktop / mobile 均命中 `脫敏範圍`、`runtime gate`，敏感 / 內部協作片語命中 `0`，`horizontalOverflow=false`；現行頁面不顯示 `agent-bounty-protocol` raw repo 字串，符合脫敏要求。 +- Chrome 截圖： + - `/tmp/iwooos-desktop-bd66e264.png` + - `/tmp/iwooos-mobile-bd66e264.png` + - `/tmp/governance-desktop-bd66e264.png` + - `/tmp/governance-mobile-bd66e264.png` + - `/tmp/tenants-desktop-bd66e264.png` + - `/tmp/tenants-mobile-bd66e264.png` + +**完成度與邊界**： +- CD / Runner / Secret injection post-incident readback plan：repo 內 artifact / guard / 前台 marker `100%`，production deploy / marker readback `100%`。 +- Secret metadata 只讀成熟度：`68% -> 70%`；Gitea workflow / runner source control 只讀成熟度：`72% -> 74%`。 +- 高價值配置平均成熟度：維持 `71%`；IwoooS headline 維持 `64%`；active runtime gate 維持 `0`。 +- readback received / accepted、runtime execution authorized、action buttons allowed、workflow modification authorized、runner change authorized、repo secret change authorized、secret rotation authorized、Gitea action dispatch authorized、host write、production write、active scan 與 runtime gate 全部仍為 `0 / false`。 +- 本視窗未 SSH、未 Docker / systemd / Nginx / firewall / ArgoCD / K8s live action、未 workflow dispatch、未改 runner、未改 repository secret、未讀 secret value / hash / partial token、未 active scan、未 force push。 +- 下一優先：CD runner Docker build lock owner readback 仍需補正式 owner evidence；另需回到 S4.9 owner response、Backup / Restore / Escrow、Monitoring receiver receipt 與 Public Gateway / Nginx owner evidence，不得用 CD success、deploy marker、route `200`、UI 可見或 AwoooP approval 當 runtime 授權。 + ## 2026-06-16｜CD / Runner / Secret 注入事故後回讀 Gate 與 CD Lock 阻塞 **背景**：CD / Runner / repository secret injection 屬於高價值配置面，不能因 code-review 成功、CD 開始、UI marker 預期存在或 deploy 通知預覽就視為 runtime 已授權。近期 110 冷啟動、端口異動、Harbor / registry / StockPlatform / monitoring 類事故也證明，部署通道本身必須有事故後回讀欄位與 no-false-green 邊界。本階段已完成 repo 內只讀 gate、snapshot、guard 與前台 marker；但 production deploy 被後續 `9f4ed285` 觸發的 CD run `3071` 擋在 Docker build lock timeout，正式站尚未出現新 marker。