docs(iwooos): 記錄公開閘道回補 gate 驗證 [skip ci]

docs/LOGBOOK.md

@@ -1,3 +1,49 @@
+## 2026-06-15｜公開閘道 / Nginx 手動與緊急變更回補 Gate
+
+**背景**：使用者指出 Nginx 等重要配置常被臨時變動，資安機制不能只盤點 repo-only 設定，還必須能處理「手動變更、緊急破窗、跨專案 route 影響、回滾驗證與變更後監控」的事後補件。此階段只建立只讀收件與拒收規則，不讀 live conf、不執行 `nginx -t`、不 reload、不改 route、不碰主機。
+
+**完成項目**：
+- `scripts/security/public-gateway-owner-response-acceptance.py` 新增手動 / 緊急變更回補欄位：變更意圖或 ticket、事前批准、緊急破窗理由、路由健康影響、回滾驗證、變更後監控窗口。
+- Public Gateway owner response acceptance 固定為 acceptance fields `33`、required owner response fields `22`、reviewer checks `22`、outcome lanes `8`、blocked actions `28`，所有 received / accepted / runtime / action count 仍為 `0`。
+- 新增 `emergency_change_backfill_required` outcome lane，並阻擋靜默手動 Nginx 變更、把 break-glass 當批准、跳過 route health、跳過回滾驗證、跳過變更後監控、隱藏跨專案 route 影響。
+- `high-value-config-control-coverage` 將 `nginx_public_gateway` 只讀成熟度從 `88%` 推進到 `90%`，狀態為 `emergency_change_backfill_ready_needs_owner_live_diff`；高價值配置平均成熟度維持前台 `69%`。
+- `/zh-TW/iwooos` 前台顯示 `Nginx 公開入口`、`90% / live 0`、平均成熟度 `69%` 與手動 / 緊急變更回補說明；`en.json` 維持繁中鏡像。
+
+**本地驗證**：
+- `python3 -c 'import json; ... json.load(...)'` 驗證 `apps/web/messages/zh-TW.json`、`apps/web/messages/en.json` 通過。
+- `python3 -m py_compile scripts/security/public-gateway-owner-response-acceptance.py scripts/security/high-value-config-control-coverage.py scripts/security/iwooos-config-control-guard.py scripts/security/security-mirror-progress-guard.py` 通過。
+- `python3 scripts/security/iwooos-config-control-guard.py --root .` → `IWOOOS_CONFIG_CONTROL_GUARD_OK`。
+- `python3 scripts/security/security-mirror-progress-guard.py --root .` → `SECURITY_MIRROR_PROGRESS_GUARD_OK`。
+- `python3 scripts/security/source-control-owner-response-guard.py --root .` → `SOURCE_CONTROL_OWNER_RESPONSE_GUARD_OK`。
+- `python3 scripts/security/package-supply-chain-owner-policy-guard.py --root .` → `PACKAGE_SUPPLY_CHAIN_OWNER_POLICY_GUARD_OK`。
+- `python3 scripts/ops/doc-secrets-sanity-check.py docs .gitea` → `DOC_SECRET_SANITY_OK scanned_files=867`。
+- `pnpm --filter @awoooi/web typecheck` 通過。
+- `git diff --check` 通過。
+
+**Gitea / CD**：
+- Code commit：`9b8ca2c5 feat(iwooos): 強化 public gateway 緊急變更回補`。
+- Code-review run：`3035`，成功。
+- CD run：`3034`，成功。
+- 本階段 deploy marker：`a923e890 chore(cd): deploy 9b8ca2c [skip ci]`。
+- 同步等待另一個 Session 的治理頁變更完成後才做 production 驗證：`e101931e feat(governance): 新增 AI Agent 專業任務擴展`，code-review run `3037` 成功、CD run `3036` 成功、最新 production deploy marker `50763744 chore(cd): deploy e101931 [skip ci]`。
+
+**Production 驗證**：
+- in-app browser：`/zh-TW/iwooos?_v=50763744-iwooos-gateway-prod` 顯示 IwoooS、`Nginx 公開入口`、`90% / live 0`、`69%`、手動 / 緊急變更回補文案與執行期 `0`；console error `0`；頁面水平溢出 `0`；未命中工作視窗文字、`codex_delegation`、`source_thread_id`、`批准！`、原始 owner namespace、raw blocker 狀態或前台內網 IP。
+- Browser desktop `1280x720`：`/zh-TW/iwooos?_v=50763744-iwooos-fixed-viewport` 回 `200`，console error `0`，`horizontalOverflow=0`，同樣命中 Nginx `90% / live 0` 與 `69%`，敏感字串命中 `0`。
+- Browser mobile `390x844`：`/zh-TW/iwooos?_v=50763744-iwooos-fixed-viewport` 回 `200`，console error `0`，`horizontalOverflow=0`，同樣命中 Nginx `90% / live 0` 與 `69%`，敏感字串命中 `0`。
+- Browser mobile `390x844` 補充 route smoke：`/zh-TW/governance?tab=automation-inventory`、`/zh-TW/awooop/tenants`、`/zh-TW/code-review` 皆回 `200`、console error `0`、`horizontalOverflow=0`、敏感字串命中 `0`；Tenants 仍可見「脫敏範圍」。
+- Browser 截圖：
+  - `/tmp/awoooi-iwooos-desktop-1280x720-50763744.png`
+  - `/tmp/awoooi-iwooos-mobile-390x844-50763744.png`
+
+**完成度與邊界**：
+- Public Gateway / Nginx manual-emergency backfill gate：`0% -> 100%`。
+- Nginx public gateway 只讀成熟度：`88% -> 90%`。
+- 高價值配置平均成熟度：維持 `69%`。
+- IwoooS headline 維持 `64%`；active runtime gate 維持 `0`。
+- owner response received / accepted、live conf、rendered diff evidence、`nginx -t` evidence、route smoke evidence、maintenance window、rollback owner、Nginx reload、host write、firewall change、Docker restart、active scan、secret collection、runtime execution、action button 全部維持 `0 / false`。
+- 本輪未 SSH、未讀 live conf raw payload、未改 Nginx、未重啟 Docker / service、未修改 firewall / iptables、未執行 active scan、未收 secrets 明文、未 force push。
+
 ## 2026-06-15｜端口 / 防火牆事故型 Gate 與前台手機溢出收斂
 
 **背景**：2026-06-12 14:00 左右的 110 端口關閉事件暴露「端口 / 防火牆變更」不能只用一般配置變更欄位驗收，必須要求事故等級、服務健康影響、外部 route 影響、恢復時間、操作員通知與事後補件 owner。使用者也指出前台不得揭露工作視窗對話、原始 owner / repo namespace、raw blocked 狀態或內部英文識別資訊；因此本階段同步做 production 前台敏感資訊與手機溢出驗證。