docs(awooop): record t8 post verify gateway deployment

docs/superpowers/specs/2026-04-15-MASTER-ai-autonomous-flywheel-v2.md

@@ -369,7 +369,7 @@ source_event_received
 
 **T0 first implementation（2026-05-12 22:50 台北）**：新增 read-only `GET /api/v1/platform/truth-chain/{source_id}`，由 Operator Console auth 保護，聚合 incident / drift / approval / evidence / legacy MCP / AwoooP MCP Gateway / automation_operation_log / KM / timeline / outbound mirror。此 endpoint 只揭露現況與缺口，不改任何 incident、approval、execution 或 Telegram state。
 
-**當前紅線**：T0-T7 已補上第一批查詢/詳情可觀測性，且 T7 已讓 pre-decision read-only sense path 進入 first-class AwoooP MCP Gateway；但這仍不是「所有 MCP / 自建 MCP / write-admin tool 全面 enforcement」。T3 仍不是 Ansible check-mode / apply executor，T6 也只把 reconciliation 推進詳情層。任何「中低風險告警已有完整 AI 自動修復」仍必須逐案查證，不能全域宣稱。
+**當前紅線**：T0-T8 已補上第一批查詢/詳情可觀測性，且 T7/T8 已讓 pre-decision sense 與 post-execution verify 的 read-only MCP path 進入 first-class AwoooP MCP Gateway；但這仍不是「所有 MCP / 自建 MCP / write-admin tool 全面 enforcement」。T3 仍不是 Ansible check-mode / apply executor，T6 也只把 reconciliation 推進詳情層。任何「中低風險告警已有完整 AI 自動修復」仍必須逐案查證，不能全域宣稱。
 
 **T1 first implementation（2026-05-12 23:20 台北）**：開始補 `awooop_outbound_message` 的真相鏈欄位：`content_redacted`、`redaction_version`、`source_envelope`。設計邊界是只保存 redacted rendered card 與 source metadata 摘要；raw Telegram payload、完整 callback data、未遮蔽 token 不入庫。production DB migration 已預套用，API app role 在 `app.project_id=awoooi` 下可讀 outbound rows（`total=312`），代表 T1 的 RLS visibility 紅燈已先驗證可見；新欄位需等 T1 API image 上線後才會產生非空資料。
 
@@ -2002,6 +2002,19 @@ Phase 6 完成後
   - first-class Gateway count：0 → 16
 - 邊界：T7 只完成 pre-decision read-only sense path。write/admin MCP、PostExecutionVerifier production path、approval execution SSH、Ansible check-mode/apply/rollback 仍未完成，不能宣稱所有 MCP 或自動修復流程都已全面治理。
 
+**T8 PostExecutionVerifier read-only Gateway path production verified（2026-05-13 台北）**：
+- `1a03bceb feat(awooop): route post verify mcp through gateway` 已推 Gitea main。
+- Deploy marker：`f19fe4aa chore(cd): deploy 1a03bce [skip ci]`；Code Review run `1980` success，CD run `1979` success。
+- Production API/Web/Worker image 均為 `1a03bceb5c57bc906b6b95acc3947ea71dcd7927`，K3s rollout success，host-local health healthy / `mock_mode=false`。
+- `PostExecutionVerifier` production audited providers 會以 `agent_id=post_execution_verifier`、`required_scope=read`、`is_shadow=true` 呼叫 AwoooP MCP Gateway；raw unit-test provider 維持直呼。
+- Production Gateway smoke：
+  - `trace_id=codex-t8-postverify-ccdeacfd`
+  - registry tools：56
+  - state keys：`k8s_describe_pod`、`k8s_get_events`、`k8s_get_hpa_status`、`k8s_get_node_conditions`、`k8s_get_pod_logs`
+  - 5 筆 audit rows 全部為 `gateway_path=awooop_mcp_gateway`、`policy_enforced=true`、`required_scope=read`、`is_shadow=true`
+  - `post_verify_first_class=5`
+- 邊界：T8 只完成修復後 read-only 驗證 path。approval execution SSH / write-admin MCP / Ansible check-mode / apply / rollback 仍未完成，不能宣稱真正自動修復閉環已全面完成。
+
 ---
 
 ### 2026-04-20 晚 (台北) — C1-C4 全流程串接 — Playbook 鏈路保護（commit de2d34d）