[自动合并 P2-2] 抑制标记预算门

[randypanding]

目标

新增"抑制标记预算"门：# noqa、eslint-disable、type: ignore、.gitleaksignore、coverage exclude、arch-lint allowlist 等抑制标记按净增量设硬阈值（单 PR ≤ 3，且累计总量不得上升）。把"逐条人审"换成"配额 + 越界才叫人"。

背景（源自 #81 §4.1）

抑制标记是 agent 让门禁变绿的第二条捷径：lint 红就加 noqa，类型错就加 ignore，泄密扫描红就加 gitleaksignore。无人值守下，每个抑制标记都是一次未被审判的门禁豁免。预算制让"零星合理豁免"自动通过，"批量规避"被拦下。

涉及文件

• CI-Workflows/scripts/suppression-budget.sh（新增，检测逻辑）
• CI-Workflows/.github/workflows/check.yml（接入）
• governance/policy/testing.yaml 或新 policy/suppressions.yaml（标记清单、单 PR 阈值、总量基线声明）
• 各业务仓 gate needs 链

执行步骤

1. 声明抑制标记全集（按语言/工具枚举正则：noqa、eslint-disable、type: ignore、gitleaks:allow、nosec、coverage: ignore、.gitleaksignore 行、arch-lint allowlist 条目等），落盘到 policy 文件，机器可解析。
2. 实现计数脚本：
   • 单 PR 维度：diff 中抑制标记净增量 > 3 → 红；
   • 总量维度：main 上标记总数为基线（落盘或 API 取），PR 合入后总量上升 → 红（下降/持平 → 绿）；
   • 豁免：引用 scope 覆盖的 ADR（与 P2-1 同款逃生门，入账）。
3. 接入 gate needs 链（aggregator 严格断言模式）。
4. 对现有仓做一次基线盘点：当前各标记总量写进 policy 作为初始基线。

验收标准

• 净增 ≤3 的 PR 绿；净增 >3 的 PR 红；净减的 PR 绿。
• 累计总量上升的 PR 红（即使单 PR ≤3）。
• 基线盘点完成，各仓初始总量落盘。

测试方法（预先指定）

T1 阈值边界（核心，参数化）：在测试仓开三个 PR：

• P-A：新增 3 个 noqa → 断言绿；
• P-B：新增 4 个 noqa → 断言红，错误信息指明超阈值 4>3；
• P-C：删除 2 个现有抑制标记 → 断言绿。

T2 总量维度（核心）：

• P-D：新增 2 个标记（单 PR 达标）但导致该仓总量超过基线 → 断言红；
• 断言错误信息区分"单 PR 超阈值"与"总量上升"两种红因。

T3 标记全集覆盖（单元级）：构造含每种已声明标记的 fixture diff（每种至少 1 例 + 1 个相似但不应命中的干扰文本，如注释里写 "noqa" 字样），断言计数器输出与预标注完全一致，无漏报无误报。

T4 逃生门（正向）：复刻 P-B 并引用 scope 覆盖的 ADR → 断言绿且入账。

T5 基线机制：修改 policy 中基线值（±1）后重跑同一 PR，断言判定结果随之翻转——证明判定确实消费基线而非硬编码。

依赖

• P1-3（aggregator 模式）
• P2-1（同款接入与逃生门机制，建议同一 PR 系列落地，减少各仓 caller 改动次数）

[randypanding]

复核发现（2026-08-21）——门未接线，暂不能关闭

本体完备（本地复测）：suppression-budget-selftest.sh 44/44 PASS（T1 阈值边界 / T2 总量棘轮 / T3 标记全集 11 类 / T4 ADR 逃生门 / T5 基线消费证明 / T6 fail-closed）；policy/suppressions.yaml 含全 11 仓基线。

断线证据：CI-Workflows 当前没有任何 workflow 引用 suppression-budget.sh。PR #19 描述声称在 check.yml 新增 suppression-budget job，但实际合并的文件清单只有 3 个（policy + 脚本×2）——「基于当前 main 重建」（60c380d）时 check.yml 的 job 丢失。policy 文件头注释「消费方：check.yml suppression-budget job」指向一个不存在的 job。

后果：该门当前对所有 PR 都不执法。

剩余工作：恢复 check.yml 的 suppression-budget job（C1 变更，ADR-0036 既有背书 + owner-merge）→（后续）各仓 re-pin 时顺带生效。

[randypanding]

完成记录（2026-08-21，接线修复 + 线上验证闭环）

实现落地（CI-Workflows PR #32/#36/#38/#40/#43/#44/#45/#47/#49/#50，发布 v1.5.1→v1.5.11）

恢复过程中按实证迭代修复了 4 个真缺陷（全部由 re-pin 激活暴露——这正是「从未被消费 = 从未被测试」的教训）：

1. feat: 红队修复批次——gate 硬化、每日漂移+自动关闭、apply loud-failure、App 名统一（ADR-0013） #19 重建合并时 job 从 check.yml 丢失（复核已实锤）→ 恢复；后又实测 job 内嵌 check.yml 触发平台 action 解析故障（二分定位），改独立 suppression-gate.yml（ADR-0036 修订：分发载体变更，判定语义不变）
2. dep-review.yml 同批暴露的 workflow_ref 潜伏 bug 一并修复（ciw-ref 显式输入）
3. 总量维度两次计数污染：ciw-sup/adr-src 检出残留工作区（total 虚高 34→0）+ pr.diff 工件重复计数（10→5）——检出物/工件全部移出被审树（v1.5.9/feat: event.schema v1.1——补 6 类治理审计事件（ADR-0016） #47、v1.5.10/feat: drift-check §11 CI-Workflows 大版本指针完整性检测（红队 #6-A，ADR-0016） #49）
4. v1.5.10 转义手误（缺收尾引号，v1.5.11/feat: drift-check §10 ADR 实体性校验——空壳 ADR 检出（红队 RB-D5，ADR-0016） #50 修复 + 本地 bash -n 全步骤预检纪律）

全组织激活

7 业务仓 re-pin（Use-up-Plan#52/#62/#63、template-service#20/#21/#22（经 merge queue）、Script_Writer#31/#32/#33、AI_Web_School#53/#54/#55、Shorts_Director#98/#99/#100、mutual#15/#16/#17、agent-tools#7/#8/#9）——7/7 仓 suppression 门线上生效。

验收测试对照

卡内测试	结果
T1-P-B 净增>3 红（线上）	✅ Use-up-Plan PR#61：净增 5>3 红，错误信息 净增 5 > 阈值 3 精确；两种红因显式区分
T1-P-A/P-C、T2、T5	✅ selftest 44/44（阈值边界/总量棘轮/基线消费翻转）每 PR 执法前自动复跑
T3 标记全集	✅ selftest 11 类标记精确正则 + 干扰项
T4 逃生门	✅ selftest + 线上：7 仓 re-pin PR 引用 ADR-0036 豁免通过且入账（SUPPRESSION-EXEMPT 行 + 棘轮同步义务提示）
基线盘点	✅ 落盘 policy/suppressions.yaml（真实计数 0，工件污染根除后无需上调）

按 #81 DoD 关闭。