W2-C2: PM 凭证收敛——gh-app-token 上收服务器代签+应急回退通道文档化

[randypanding]

父意图: #402 | Spec: specs/IR-0006/spec.md v1 | 波次: W2 | 依赖: W2-C1（调度器签发面）

任务

PM 会话 GitHub 凭证收敛：gh-app-token 机制上收至内网服务器代签（单仓作用域+短 TTL≤波次）；个人 PAT 退出日常流程；应急回退通道（App 失效→owner PAT，24h 窗口）文档化。

AC（Given-When-Then）

• AC-6a (spec): Given PM 会话在云电脑运行，When 日常写仓操作，Then 令牌由服务器代签（单仓作用域+短 TTL）且 agent 上下文零凭据边界不变（INV-04）；个人 PAT 退出日常流程。
• AC-6b (api): Given 短 TTL 令牌签发，When TTL 到期，Then 自动收回实测（收回断言日志）；服务器令牌签发的 JSONL 记录按 schema v1 进统一账本；应急回退通道文档落盘可查。

blastRadius（预测）

云内网执行面: 服务器代签服务; .github: docs/（回退通道文档）

[randypanding]

/claim

[randypanding]

/claim

[randypanding]

W2-C2 收口（T8 done；AC-6a/AC-6b 运行时证据齐备）：

实现 PR（跨仓）：

• cnb-bridge#7：selfcloud ghtoken.go（App JWT→installation→单仓作用域代签+TTL≤240min 断言+DELETE 收回+探活）+ gh-token/gh-token-check/gh-token-revoke CLI + tokenagent-drill.yml + RUNBOOK §6 + REMOVAL 代签面条目
• cnb-bridge#8：drill 续链拉账本 heredoc 炸法修复（实测缺陷）
• cnb-bridge#9：收回断言退避轮询（DELETE→失效秒级传播延迟，实测缺陷）
• .github#446：docs/pm-credential-convergence.md（应急回退通道：App 失效→owner PAT，24h 窗口/留痕/恢复判定）+ NAVIGATION §1 入口行

实测闭环（AC-6a/AC-6b）：

• AC-6a 服务器代签：drill run 33250730635 真实全链路——代签（作用域=单仓 cnb-bridge，TTL=59min≤波次 240min）→ 探活 200 → DELETE 204 → 收回断言探活 401；org secrets 面（CB_APP_ID/AGENT_APP_SECRET），PM 上下文零接触（INV-04）；个人 PAT 退出日常流程（仅 §3 应急回退保留）
• AC-6b 自动收回断言：收回断言日志 OK 收回断言：探活 HTTP 401（reason=revoked——AC-6b 断言日志）
• AC-6b schema v1 入统一账本：token.grant/revoke 链式入 tickets.jsonl（seq 3/4，payload 零令牌值）→ push tickets-ledger → 统一查询 --card Cloudbird-Software/.github#413 → tickets=2 条（by_source/by_tenant 可查）
• AC-6b 回退通道文档落盘：docs/pm-credential-convergence.md（合并于 docs: PM 凭证收敛应急回退通道文档化（IR-0006 W2-C2 / ADR-0103 决策 5 / ADR-0044） #446，NAVIGATION 可达）

单测：httptest 协议级桩全链路（代签→探活→收回→401），go vet/go test 全绿；四 PR 全 gate 绿+合并（gate/adversary/org-gate/org-adr-required/CodeQL/Socket）。

卡上声明（自建域 placement）：capabilities=[App 令牌服务器代签, 短 TTL 收回断言, 凭证事件入账]；placement=server-anchored（ADR-0103 决策 4/5）；判定锚=GitHub HTTP 状态码（INV-01 机械锚点）。