[自动合并 P1-3] gate aggregator 严格化：skipped ≠ success

[randypanding]

目标

消灭 gate 的 "skipped = success" fail-open 面：gate 作为唯一 required check，必须是显式断言每个上游 job result == 'success' 的 aggregator，skipped / neutral 一律视为红。

背景（源自 #81 §3.1）

GitHub 官方行为：skipped 的 job 上报 Success，即使是 required check 也不阻止合并。当前 .github/workflows/gate.yml 的 aggregator 已有 if: always() 和 needs 断言，但断言条件是 result != "success" and result != "skipped" 才算失败——即 skipped 被当绿。任何路径过滤、if: 条件、上游被 skip 的传导，都会让 gate "绿但没跑"。无人值守下 gate 是唯一判据，这个缝必须焊死。

同时明确一条规范：paths: / paths-ignore: 过滤禁止放在 workflow 级（会导致 check 完全不产生 → 永久 pending），只能放 job 级并由 aggregator 显式判定。

涉及文件

• .github/workflows/gate.yml（aggregator 断言段）——本仓
• CI-Workflows/.github/workflows/check.yml / ci.yml（下游仓同款 aggregator，若存在相同模式一并修）
• standards/（workflow 级路径过滤禁令）

执行步骤

1. gate.yml 的 "hygiene green?" 步骤改为严格断言：needs 中任何 job 的 result 不等于 "success" 即失败（skipped、cancelled、failure、startup_failure 全部算红）。
2. 检查 CI-Workflows 内所有被复用的 workflow 与各业务仓的 caller workflow，凡有 aggregator 模式的同步改为严格断言。
3. 在 standards 写明：required check 链路上的 workflow 禁用 workflow 级 paths: 过滤；job 级过滤必须配 aggregator 显式判定（且被跳过的 job 不得是安全相关 job——安全 job 永远不许 skip）。
4. 复核现有所有 workflow，确认无 workflow 级 paths:/paths-ignore:。

验收标准

• gate aggregator 断言为严格相等 == "success"，不接受 skipped。
• 上游 job 被 skip 的 PR，gate 变红。
• 全部上游真跑且绿时，gate 正常变绿（无回归）。
• 组织内无 required 链路上的 workflow 级路径过滤。

测试方法（预先指定）

T1 skip 注入测试（核心，负向）

1. 在测试仓 Use-up-Plan 构造一个 PR：临时给 gate 的上游 job（如 hygiene 的调用 job）加一个恒为 false 的 job 级 if:（if: false），使该 job 被 skip。
2. 断言：aggregator job 执行且 conclusion 为 failure（gh api repos/.../commits/<sha>/check-runs --jq '.check_runs[] | select(.name=="gate") | .conclusion' 返回 failure），PR 无法合并。
3. 关闭该 PR，删除分支。

T2 全绿回归（正向）

1. 在同一测试仓开一个正常 PR（所有上游真跑且通过）。
2. 断言：gate conclusion 为 success，PR 可合并。

T3 断言逻辑单元验证

• 在 PR 的 aggregator step 里（或本地复现其 jq 片段）喂入构造的 NEEDS JSON：
  • {"hygiene":{"result":"skipped"}} → 必须 exit 1
  • {"hygiene":{"result":"success"}} → 必须 exit 0
  • {"hygiene":{"result":"cancelled"}} → 必须 exit 1
    三个用例全部符合才通过。

T4 静态扫描

• grep -rn "^ paths" .github/workflows/ && grep -rn "paths-ignore" .github/workflows/ 对组织内各仓执行，断言 required 链路上无 workflow 级路径过滤（结果为空或仅存于非 required 的 workflow 并逐个登记豁免理由）。

依赖

无（可与 P1-1/P1-2 并行；合入顺序建议在 P1-2 之前，避免死锁拆除后假绿 PR 涌入）

[randypanding]

P1-3 完成核验（2026-08-20，randypanding 授权 agent 执行）：

改动清单（10 个 PR 全部合并）：

• 本仓 PR ci: gate aggregator 严格化 skipped≠success + drift pipefail（P1-3，ADR-0032/0033） #106：gate.yml 严格断言 + standards/automation/required-check-chains.md + AGENTS.md 索引
• CI-Workflows PR feat: 开启 code-owner review（ADR-0010 部署项） #14（自测 ci.yml）、8 业务仓 PR：Use-up-Plan#29、mutual#9、template-service#16、agent-platform#24、Shorts_Director#95、agent-tools#3、Script_Writer#28、AI_Web_School#48（含任务板 T-W5-035 登记）
• ADR-0032（agent-registry PR feat: event.schema v1.1——补 6 类治理审计事件（ADR-0016） #47）

T1 skip 注入（核心负向） ✅：Use-up-Plan PR#30 给上游 check job 注入 if: false → gate conclusion=failure，报错精确：以下 job 非 success 且不属于事件 pull_request 的结构性预期跳过：check=skipped（skipped≠success——ADR-0032），PR 无法合并。验证后关闭+删分支。

T2 全绿回归（正向） ✅：8 业务仓+CI-Workflows 的 P1-3 PR 全部 gate 绿并合并；合并后 main 分支 push run 复验绿（Use-up-Plan run 32334290326、AI_Web_School run 32334332964）——push 事件下 EXPECTED_SKIP 白名单正确放行 deps/adr-required/deps-audit/repo-gate 的结构性跳过。

T3 断言单元验证 ✅：严格断言 jq 程序 5 用例（skipped未登记→红 / skipped白名单命中→绿 / failure→红 / cancelled→红 / 未知事件零放行→红）本地 shell 实测全过；业务仓版（含 case/EXPECTED_SKIP）以真实 step 脚本执行 5 用例全过。

T4 静态扫描 ✅：全组织 10 仓 workflow 级 paths: 仅 AI_Web_School contract.yml（contract-watch）一处——非 required、建议性，已在规范豁免清单登记理由。

过程插曲（如实记录）：首批推送有两处 bash 缺陷（echo 括号未引用、jq 程序缺闭合引号），均被严格 gate 自身以红挡下后修复——fail-closed 方向有效；此教训已同步为本地先 shell 实测再推的流程。P1-3 完成，关闭。