# Security Supply Chain Approval Queue

| 項目 | 內容 |
|------|------|
| 日期 | 2026-05-13 |
| 狀態 | 草案 |
| Schema | `docs/schemas/security_approval_queue_v1.schema.json` |
| Snapshot | `docs/security/security-approval-queue.snapshot.json` |
| 預設模式 | `approval_only` |
| 原則 | AwoooP 可以顯示與排隊，但不得執行 |

## 0. 核心結論

本 queue 把目前 Security Supply Chain 已整理出的高風險或敏感邊界，集中成 AwoooP 可 mirror 的 approval queue。

它不是授權清單。所有 queue item 都只能顯示、排序、建立 approval candidate，不能直接執行。

目前狀態：

| 指標 | 數量 |
|------|------|
| queue items | 8 |
| pending approval | 7 |
| block candidate | 1 |
| execution authorized | false |
| runtime changes authorized | false |
| raw secret storage authorized | false |

## 1. Review 順序建議

| 順序 | Queue item | 為什麼先看 |
|------|------------|------------|
| 1 | `kali-finding-runtime-ingestion-approval-20260513` | 先接 redacted finding evidence，風險低、價值高 |
| 2 | `kali-safe-web-crawl-approval-20260513` | TLS/header/basic crawl 屬低噪音，但仍需批准 scope |
| 3 | `gitea-private-internal-server-side-inventory-2026-05-12` | Gitea 全量版本轉 GitHub 的前置 gate |
| 4 | `source-control-target-repo-approval-bundle-20260513` | 逐 repo owner / visibility / canonical 決策 |
| 5 | `source-control-ref-truth-review-bundle-20260513` | refs truth / deprecated / release tag review |
| 6 | `kali-credentialed-scan-approval-20260513` | 需要憑證，風險較高 |
| 7 | `kali-full-upgrade-reboot-approval-20260513` | 需要維護窗口、snapshot、rollback 與 post-check |
| 8 | `kali-execute-endpoint-approval-20260513` | CRITICAL，預設 block candidate，不應接入 runtime |

## 2. AwoooP 可以做

1. 顯示 queue item、risk、state、required reviewers。
2. 顯示 evidence refs 與 blocked reason。
3. 建立 approval candidate。
4. 保存人工決策結果與 audit evidence。
5. 依 review order 提醒下一個低摩擦 gate。

## 3. AwoooP 不可以做

1. 不直接啟動 Kali scan。
2. 不直接呼叫 Kali `/execute`。
3. 不建立 GitHub repo。
4. 不修改 repo visibility。
5. 不 sync refs。
6. 不切 GitHub primary。
7. 不保存 raw secret、token、cookie、private key 或 exploit payload。
8. 不把 LOW / MEDIUM observation 變成 blocking gate。

## 4. 初期策略

最適合先批准的不是高強度掃描，而是 `kali-finding-runtime-ingestion-approval-20260513`。

原因是它只允許接收已脫敏 `security_finding_v1` 摘要，能讓 Kali findings 進入 AwoooP 可見性與 audit，卻不會改變 firewall、RBAC、NetworkPolicy、deploy 或 Git 主控面。

`kali-execute-endpoint-approval-20260513` 則應維持 block candidate。除非未來建立 allowlist、disable gate、完整 audit 與人工 exception，否則不應讓 AwoooP runtime 直接碰這條路徑。