docs(security): 補 S4.9 canonical owner response envelope [skip ci]

docs/workplans/2026-06-04-iwooos-security-governance-p0.md

@@ -7,9 +7,9 @@
 | 項目 | 目前值 |
 |------|--------|
 | 工作視窗 | IwoooS / AWOOOI 資安治理 P0 |
-| 本次乾淨 worktree | `/Users/ogt/awoooi` |
-| 本次分支 | `codex/iwooos-i18n-d2-visible-literals-20260605` |
-| 最新觀察到的 `gitea/main` | `f1bad81d docs(logbook): 記錄 P1-305 P1-306 正式驗證 [skip ci]` |
+| 本次乾淨 worktree | `/private/tmp/awoooi-p1-106-offsite-escrow-readiness-20260605` |
+| 本次分支 | `codex/p1-305-velero-minio-freshness` |
+| 最新觀察到的 `gitea/main` | `b615bde5 docs(security): 補 S4.9 owner response 缺口稽核 [skip ci]` |
 | 最新 P2-D0 繁中文案基準 | code `cd2275a2`、deploy marker `1920bd08`、code-review `2565`、CD `2564` |
 | 最新 P2-D1 本地掃描基準 | `VISIBLE_LITERAL_TARGET_SCAN_OK files=221`；全站 TS / TSX 中文 literal 盤點 `35` 檔 / `752` 行；註解語氣 backlog `32` 筆 |
 | 最新 P2-D1 正式部署基準 | code `f9bf8a28`、deploy marker `879b0a36`、CD `2578`、code-review `2579` |
@@ -18,6 +18,7 @@
 | 最新 P2-D2 Code Review 候選分類基準 | code `292cfec9`、deploy marker `4cfe5ff7`、CD `2586`、code-review `2587`；Code Review route 可見文案已搬到 `codeReview` i18n namespace，四類候選分類與人工批准流程已正式驗證 |
 | 最新 P2-D2 AwoooP Runs fallback 文案基準 | code `7f6028c3`、deploy marker `bf016e91`、CD `2590`、code-review `2591`；Runs / Callback / Source Flow fallback 文案已正式驗證 |
 | 最新 AI Agent automation P1-305 / P1-306 基準 | code `4f0787f8`、deploy marker `af3a9d48`、CD `2592`、code-review `2593`；任務批准邊界與進度彙總已正式驗證；backlog `70%`、done `16/23`、下一步 `P1-001` |
+| 最新 S4.9 canonical owner response envelope 基準 | `docs/security/S4-9-CANONICAL-OWNER-RESPONSE-ENVELOPE.md`；六欄信封、欄位 alias、五題投影、quarantine-first 與 reviewer checklist 已固定；owner response gate 仍 `0%` |
 | 目前平行 Session | AwoooP thread `019e9154-7d5e-7b72-85be-c9d97e43ecc9` 正在推 `P1-001 runtime surface inventory`；本視窗避免修改同一批 runtime surface schema / API / UI 檔 |
 | 前一個正式 IwoooS 候選基準 | code `7b8fc093`、deploy marker `45c63488`、LOGBOOK `02cadee6` |
 | 最新導航 IA 基準 | code `973fc7a4`、LOGBOOK `2555c811`、deploy marker `0260ec89` |
@@ -50,6 +51,7 @@
 | P0-2a | S4.9 current intake readiness | 100% | 五題缺口、合格封套、結果分流與只讀更新邊界已補進收件包與 S4.13 rollup；owner response gate 仍 0% | JSON parse、owner response guard、progress guard |
 | P0-2b | S4.9 request dispatch preflight 交接包 | 100% | 送件前檢查、交接封套欄位與送後不變條件已固定；dispatch authorized 仍 false | JSON parse、owner response guard、progress guard |
 | P0-2c | S4.9 current gap audit | 100% | 已新增 `S4-9-OWNER-RESPONSE-GATE-CURRENT-GAP-AUDIT.md`，列出已符合、仍不符合、需新增、需調整、五題回覆與 0 / false 邊界；owner response gate 仍 0% | owner response guard、progress guard、diff check |
+| P0-2d | S4.9 canonical owner response envelope | 100% | 已新增 `S4-9-CANONICAL-OWNER-RESPONSE-ENVELOPE.md`，固定六欄信封、source template alias mapping、五題投影、quarantine-first 與 reviewer checklist；owner response gate 仍 0% | owner response guard、progress guard、diff check |
 | P0-3 | AwoooP 同步封包 | 100% | 已送至 AwoooP 平行工作 thread `019e9154-7d5e-7b72-85be-c9d97e43ecc9`；後續仍需每次推版前重新 fetch / fast-forward | 本文件、thread send readback、mirror checklist readback |
 | P0-4 | production live sanity 節點 | 100% | desktop / mobile / 展開區塊 / overflow / action href 檢查已完成 | Playwright production sanity 通過 |
 | P0-5 | LOGBOOK 與完成度更新 | 100% | D2 comments-only、D2 AIOps sample、D2 Code Review 候選分類與 D2 AwoooP Runs fallback 皆已回填；可見 / bundle 變更皆已補 local / production desktop + mobile smoke | `docs/LOGBOOK.md` readback |
@@ -103,6 +105,18 @@ S4.9 是目前 IwoooS 64% 能往前的第一優先 gate。驗收前所有 count
 | 送後不變條件 | 100% | 實際送件後也只能依可稽核 metadata 調整 request_sent_count，不得同步拉高 received / accepted / rejected | 不代表 owner response gate 解鎖 |
 | runtime / source-control 邊界 | 100% | GitHub primary、repo / refs / workflow / secret、Kali、SSH、主機維護、runtime gate 全部另走人工批准 | 不代表任何執行面授權 |
 
+### 3.5 2026-06-05 Canonical Owner Response Envelope
+
+本輪把 S4.9 從「收件規則與送件前交接包已固定」再推到「source template 欄位可映射成單一 canonical envelope」。這是收件格式規範，不是送件、不代表收到 owner response，也不代表 accepted；`request_sent=false`、`request_sent_count=0`、received / accepted / rejected 全部仍為 `0`。
+
+| 項目 | 完成度 | 目前狀態 | 不可誤讀 |
+|------|--------|----------|----------|
+| 六欄 canonical envelope | 100% | `owner_role_or_team`、`decision`、`decision_reason`、`affected_scope`、`redacted_evidence_refs`、`followup_owner` 已固定 | 不代表 owner 已回覆 |
+| Source template alias mapping | 100% | `affected_repos`、`affected_sources`、`canonical_namespace`、`evidence_refs`、`review_owner` 等 alias 已有映射規則 | 不代表可建立 repo、同步 refs、改 workflow、收 secret |
+| 五題 canonical 投影 | 100% | S4.9 五題都已定義 `affected_scope` / `decision` / `redacted_evidence_refs` 的最低投影 | 不代表五題已收到合格回覆 |
+| Quarantine-first | 100% | secret、token、private key、cookie、session、authorization header、未脫敏截圖與執行要求先隔離或拒收 | 不得渲染 raw payload，不得寫入 LOGBOOK |
+| Reviewer checklist | 100% | 六欄、五題、alias mapping、敏感 payload、執行要求、跨包一致性、count transition、gate boundary 已列入驗收前檢查 | 不得把 AwoooP approval 或 UI 可見當資安批准 |
+
 ## 4. 驗證節點規則
 
 | 階段類型 | 必跑驗證 | 是否需要實際開頁 |
@@ -188,6 +202,7 @@ P1 只讀重盤階段整體完成度：`70%`。它代表 freshness / inventory /
 | 需要調整規範 | Workflow / secret 名稱完成度 | local evidence 已有，但 webhook / runner / deploy key / branch protection / parity 仍缺 | 已改為 `missing_evidence`，不得說已完成 parity |
 | 需要調整規範 | Rollback ADR owner readiness | 舊 ADR 有 fallback / trigger / window 摘要，但缺可交接的 owner response 封套與逐 repo template | 已補 P1-5 handoff package；received / accepted / approved 仍全部 0 |
 | 需要調整規範 | AwoooP 同步封包 | P1 要同步 refreshed counts、blocked gates、no-run 狀態，避免另一 Session 以舊 `117` heads / `141` items 繼續推進 | 本總帳與 LOGBOOK 會作為同步封包來源 |
+| 需要調整規範 | S4.9 欄位同義詞混用 | `affected_repos`、`affected_sources`、`canonical_namespace`、`evidence_refs`、`review_owner` 等欄位容易和使用者要求的六欄封套混用 | 已新增 canonical owner response envelope 規範；source template 可保留細分欄位，但收件 / 顯示 / LOGBOOK 必須映射回六欄 |
 | 需要新增規範 | 111 / 168 開發主機 scope handoff | 原本只有 observe-only mapping，缺 owner 可審的 scope boundary、credential refusal、rollback owner、validation metrics 與維護窗口欄位 | 已新增 P1-8 handoff、snapshot 與 schema；host execution 仍 `0%` |
 | 需要調整規範 | 111 Ollama fallback wording | 111 是 ADR-110 local fallback evidence 範圍，不可被誤讀成可直接改 route、重啟 Ollama 或停止模型 | 已在 P1-8 固定 `fallback_route_change_authorized=false` 與 route truth observe-only |
 | 需要調整規範 | 168 dev origin / repo hygiene wording | repo hygiene 與 local service exposure 容易被誤讀成可掃個人資料、讀未授權目錄或改 CORS / firewall | 已在 P1-8 固定未授權目錄、個人資料、secret derivative、CORS / firewall / service change 全部拒收 / 禁止 |
@@ -286,6 +301,7 @@ P1 只讀重盤階段整體完成度：`70%`。它代表 freshness / inventory /
 | P2-D2 AIOps 範例資料模式 | code `d5ce17c7`、deploy marker `305b8175`；`mockBadge` 改 `sampleBadge`、`MOCK 模式` 改 `範例資料`、`mock-data.ts` 改 `sample-incidents.ts`；殘留掃描 `統帥 / MOCK 模式 / MOCK_INCIDENTS / mock-data / Mock Data / Mock React / MOCK_PENDING / MOCK 常數 / mockBadge` 命中 `0`；i18n mirror `8912` leaves；typecheck、build、owner response guard、security mirror progress guard、diff check 通過；local sample desktop/mobile 與 production desktop/mobile 均 `horizontalOverflow=0`；production HTML `sampleBadge / 範例資料` 可見、`mockBadge / MOCK 模式` 命中 `0` |
 | P2-D2 Code Review 候選分類 | code `292cfec9`、deploy marker `4cfe5ff7`；`/zh-TW/code-review` 可見文案搬進 `codeReview` namespace，i18n mirror `9004` leaves；TSX 中文 literal 命中 `0`；四類候選分類、人工批准流程、禁止 runtime 轉派與 `action_buttons_allowed=false` 可見；typecheck、build、owner response guard、security mirror progress guard、diff check 通過；Gitea code-review `2587` 成功、CD `2586` tests / build-and-deploy / post-deploy-checks 全部成功；local / production desktop + mobile 均 `horizontalOverflow=0` |
 | P2-D2 AwoooP Runs fallback 文案 | code `7f6028c3`、deploy marker `bf016e91`；`/zh-TW/awooop/runs`、Callback Evidence、Source Flow 與 status-chain fallback 可見文案已清理；i18n mirror `9020` leaves；目標殘留詞掃描命中 `0`；typecheck、build、owner response guard、security mirror progress guard、diff check 通過；Gitea code-review `2591` 成功、CD `2590` 成功；local / production desktop + mobile 均 `horizontalOverflow=0`；截圖 `/tmp/awoooi-runs-callback-i18n-prod-desktop-bf016e91.png`、`/tmp/awoooi-runs-callback-i18n-prod-mobile-bf016e91.png` |
+| S4.9 canonical owner response envelope | 新增 `docs/security/S4-9-CANONICAL-OWNER-RESPONSE-ENVELOPE.md`；六欄信封、alias mapping、五題投影、quarantine-first、reviewer checklist 與驗收前 `0 / false` 邊界已固定；本段純文件，不改前端、不改 API、不新增 deploy；owner response gate 仍 `0%` |
 
 本輪驗證後仍維持：