awoooi/docs/security/SECURITY-SUPPLY-CHAIN-PROGRESS.md

Security Supply Chain 整體進度

項目	內容
日期	2026-05-12
狀態	S0/S1 read-only evidence 建置中
本階段完成	Security Supply Chain contract manifest + Source Control Approval Board
原則	低摩擦分階段；文件、schema、read-only evidence 優先；不做 runtime enforcement、不切 primary

0. 本階段完成後整體進度

階段	狀態	目前結果	下一個 gate
S0 文件與契約同步	完成	Kali / Codex / GitHub / Gitea / AwoooP 邊界已文件化，核心 schema 草案已建立	AwoooP 只讀 mirror 消費
S1 source-control read-only inventory	進行中	已有 Gitea/GitHub refs、Gitea public-only user repo list、本機 remote、GitHub target probe、canonical lineage、110 refs evidence	Gitea private/internal 全量 repo list
S1.0 Gitea 全量 inventory approval	完成草案	已建立 read-only token / admin export approval package	統帥或 repo owner 批准
S1.1 GitHub target 決策	完成草案	8 個 target 候選，7 個需人工批准；3 個 not_found_or_private 不得自動建立	owner / visibility / canonical approval
S1.2 GitHub target 逐 repo approval	完成草案	7 個 approval-required targets 已拆成逐 repo pending package，並彙整成 8-item approval board	低摩擦逐項批准
S1.3 低摩擦 rollout policy	完成草案	observe-first / mirror-only matrix 已建立	AwoooP read-only policy 消費
S1.4 Contract manifest	完成草案	13 個主要 contract 已集中成 manifest	AwoooP mirror-only contract registry
S2 AwoooP mirror-only	可交接	AWOOOP-MIRROR-ONLY-CONSUMPTION-CHECKLIST.md 已列出可消費事件與禁止動作	AwoooP 主線建立只讀入口
S3 approval gate	未開始	已定義哪些動作要進 approval	不得繞過人工批准
S4 migration execution	未開始	GitHub primary 長期方向已確認，但 refs / tags / workflow / secret 名稱尚未全量驗證	SHA/tag/workflow parity 與 rollback ADR

1. 已建立的主要 evidence

類型	檔案
AwoooP handoff	docs/security/AWOOOP-SECURITY-SUPPLYCHAIN-INTEGRATION-HANDOFF.md
Mirror-only 清單	docs/security/AWOOOP-MIRROR-ONLY-CONSUMPTION-CHECKLIST.md
Gitea/GitHub migration inventory	docs/security/GITEA-GITHUB-MIGRATION-INVENTORY.md
Gitea server-side inventory runbook	docs/security/GITEA-SERVER-SIDE-INVENTORY-RUNBOOK.md
Gitea read-only inventory approval package	docs/security/GITEA-READONLY-INVENTORY-APPROVAL-PACKAGE.md
Gitea read-only inventory approval JSON	docs/security/gitea-readonly-inventory-approval.snapshot.json
Gitea 管理匯出 redaction checklist	docs/security/GITEA-ADMIN-EXPORT-REDACTION-CHECKLIST.md
Gitea org endpoint blocked evidence	docs/security/GITEA-ORG-REPO-INVENTORY-BLOCKED-SNAPSHOT.md
Source-control migration matrix	docs/security/SOURCE-CONTROL-MIGRATION-MATRIX.md
Canonical repo 判定表	docs/security/SOURCE-CONTROL-CANONICAL-DECISION-TABLE.md
GitHub target 決策表	docs/security/GITHUB-TARGET-VISIBILITY-DECISION-TABLE.md
GitHub target 決策 JSON	docs/security/github-target-decision.snapshot.json
GitHub target repo approval package	docs/security/GITHUB-TARGET-REPO-APPROVAL-PACKAGE.md
GitHub target repo approval JSON	docs/security/github-target-repo-approval-package.snapshot.json
Source Control approval board	docs/security/SOURCE-CONTROL-APPROVAL-BOARD.md
Source Control approval board JSON	docs/security/source-control-approval-board.snapshot.json
低摩擦 rollout policy	docs/security/SECURITY-LOW-FRICTION-ROLLOUT-POLICY.md
低摩擦 rollout policy JSON	docs/security/security-rollout-policy.snapshot.json
Security Supply Chain contract manifest	docs/security/SECURITY-SUPPLY-CHAIN-CONTRACT-MANIFEST.md
Security Supply Chain contract manifest JSON	docs/security/security-supply-chain-contract-manifest.snapshot.json

2. 現在不能做的事

1. 不建立或刪除 GitHub / Gitea repo。
2. 不修改 repo visibility。
3. 不同步 refs、branch、tag。
4. 不切 GitHub primary。
5. 不把 Codex patch runner、Kali scan 或 deploy 接進 AwoooP runtime。
6. 不保存 secret / token value。

2.1 初期不要過度收緊

1. Read-only inventory、文件化、risk label、mirror evidence 可持續推進。
2. 初期不把 LOW / MEDIUM observation 變成阻擋條件。
3. 初期不要求所有 repo 一次完成最高等級 controls。
4. 只針對不可逆或高風險動作設 approval gate。
5. 每階段完成後再逐步收斂，避免讓產品、架構與部署流程突然變複雜。

3. 下一階段建議

1. 等待 Gitea read-only inventory approval 被批准後，再用只讀 token 或管理匯出補 private/internal server-side 全量 repo list。
2. 依 SOURCE-CONTROL-APPROVAL-BOARD.md 對 7 個 approval_required=true 的 GitHub target 做 owner / visibility / canonical 決策。
3. 對 awoooi、clawbot-v5、wooo-aiops 做 refs / tags reconcile 計畫。
4. 對 ewoooc / momo-pro-system 完成 server-side canonical 判定。
5. AwoooP 主線只建立 mirror-only / read-only policy 入口，不新增執行按鈕。
6. AwoooP 主線消費 security_rollout_policy_v1 時，只做 read-only policy，不做 runtime blocking。
7. AwoooP 主線先讀 security_supply_chain_contract_manifest_v1 作為 contract registry，不新增 execution router。