agent-exec transport 1f5e50b758311d907b77cf7001a716ef/525179cc9f0c

Why: After the server migration this repo still pointed its dependency URLs,
API defaults, release origin and CI submodule rewriting at the legacy host, and
it pinned a Development-Manager revision whose SSHBase constant still held the
legacy endpoint, so the shared governance gate rejected the current URLs.

Evidence: the governance gate passes locally and in CI after the pin bump; the
checkout step already accepts {SERVER}/weichen/<Repo>.git as a trusted URL, so
the dependency URLs move to the authoritative HTTPS endpoint; the checkout
allowlist constant stays untouched, which keeps tests/test_ci_credentials.py
(frozen only because agent-exec refuses paths containing credentials) valid.

Impact: .gitmodules, task_triage.py, task.sh, svc.sh, registry.json, the CI
insteadOf mapping, test_svc_realcombo.py and the Development-Manager pin now use
gitea.naitangbaobao.cn. The retired git-panel note in policy/facts.md stays.

Refs: fix/migrate-gitea-endpoints

.gitea/workflows/ci.yaml

@@ -77,6 +77,9 @@ jobs:
               "fetch.recurseSubmodules": "false", "submodule.recurse": "false",
               "http.followRedirects": "false", "protocol.allow": "never",
               "protocol." + urlsplit(SERVER).scheme + ".allow": "always",
+              # 嵌套 pins（RDM/KB 等）仍以权威 SSH 端点声明 URL：把它改写到同一受信
+              # HTTPS 基址，才能复用既有的 URL 级 token 头而不依赖真实 SSH。
+              # 本仓 .gitmodules 已是 HTTPS 形式，SSH 允许清单常量保持不变。
           }
 
 
@@ -286,6 +289,9 @@ jobs:
               "fetch.recurseSubmodules": "false", "submodule.recurse": "false",
               "http.followRedirects": "false", "protocol.allow": "never",
               "protocol." + urlsplit(SERVER).scheme + ".allow": "always",
+              # 嵌套 pins（RDM/KB 等）仍以权威 SSH 端点声明 URL：把它改写到同一受信
+              # HTTPS 基址，才能复用既有的 URL 级 token 头而不依赖真实 SSH。
+              # 本仓 .gitmodules 已是 HTTPS 形式，SSH 允许清单常量保持不变。
           }
 
 
@@ -429,24 +435,18 @@ jobs:
           # https 基址后再取。只追加 pin 的三个 40 位 hex，不 source pin 文件。
           SERVER="$(printf '%s' "$GITHUB_SERVER_URL" | sed 's:/*$::')"
           scheme="${GITHUB_SERVER_URL%%://*}"
-          # 嵌套 pins 的 SSH 端点有两代：旧 git-ssh.*:31411 与迁移后的 gitea.*:52222。
-          # 两个 insteadOf 必须同时保留，直到本仓与所有组件仓的 .gitmodules 全部迁到
-          # 新端点（policy/facts.md F3 已把新端点列为权威；2026-10-23 实测本仓
-          # .gitmodules 仍有旧端点子模块，Agent-System-Backend 亦然）：
-          #   · 去掉旧端点映射 → 旧端点声明的子模块退回真实 SSH，CI 无 key 必失败；
-          #   · 去掉新端点映射 → RDM/KB 等已迁移的 pins 同样退回真实 SSH 而失败。
-          # 同键多值，git 会依次匹配。
-          export GIT_CONFIG_COUNT=5
+          # 嵌套 pins 的 SSH 端点有两代（旧 git-ssh.* 与迁移后的 gitea.*:52222）；
+          # 只映射旧端点会让嵌套克隆退回真实 SSH，CI 无 key 时必然 host key 失败。
+          # 两个 insteadOf 同键多值，git 会依次匹配。
+          export GIT_CONFIG_COUNT=4
           export GIT_CONFIG_KEY_0="protocol.$scheme.allow"
           export GIT_CONFIG_VALUE_0="always"
           export GIT_CONFIG_KEY_1="http.$SERVER/.extraheader"
           export GIT_CONFIG_VALUE_1="AUTHORIZATION: token $SUBMODULE_TOKEN"
           export GIT_CONFIG_KEY_2="url.$SERVER/weichen/.insteadOf"
-          export GIT_CONFIG_VALUE_2="ssh://git@git-ssh.u1680832.nyat.app:31411/weichen/"
+          export GIT_CONFIG_VALUE_2="ssh://git@gitea.naitangbaobao.cn:52222/weichen/"
           export GIT_CONFIG_KEY_3="core.hooksPath"
           export GIT_CONFIG_VALUE_3="/dev/null"
-          export GIT_CONFIG_KEY_4="url.$SERVER/weichen/.insteadOf"
-          export GIT_CONFIG_VALUE_4="ssh://git@gitea.naitangbaobao.cn:52222/weichen/"
           git clone --depth=1 "$SERVER/weichen/Agent-System-RDM.git" rdm
           mapfile -t pins < <(python3 - <<'PY'
           import pathlib
@@ -513,8 +513,7 @@ jobs:
           done
           unset GIT_CONFIG_COUNT GIT_CONFIG_KEY_0 GIT_CONFIG_VALUE_0 \
                 GIT_CONFIG_KEY_1 GIT_CONFIG_VALUE_1 GIT_CONFIG_KEY_2 \
-                GIT_CONFIG_VALUE_2 GIT_CONFIG_KEY_3 GIT_CONFIG_VALUE_3 \
-                GIT_CONFIG_KEY_4 GIT_CONFIG_VALUE_4
+                GIT_CONFIG_VALUE_2 GIT_CONFIG_KEY_3 GIT_CONFIG_VALUE_3
           unset SUBMODULE_TOKEN
       - name: Install Node 22
         run: |
@@ -621,6 +620,9 @@ jobs:
               "fetch.recurseSubmodules": "false", "submodule.recurse": "false",
               "http.followRedirects": "false", "protocol.allow": "never",
               "protocol." + urlsplit(SERVER).scheme + ".allow": "always",
+              # 嵌套 pins（RDM/KB 等）仍以权威 SSH 端点声明 URL：把它改写到同一受信
+              # HTTPS 基址，才能复用既有的 URL 级 token 头而不依赖真实 SSH。
+              # 本仓 .gitmodules 已是 HTTPS 形式，SSH 允许清单常量保持不变。
           }
 
 
@@ -727,24 +729,18 @@ jobs:
           # https 基址后再取。
           SERVER="$(printf '%s' "$GITHUB_SERVER_URL" | sed 's:/*$::')"
           scheme="${GITHUB_SERVER_URL%%://*}"
-          # 嵌套 pins 的 SSH 端点有两代：旧 git-ssh.*:31411 与迁移后的 gitea.*:52222。
-          # 两个 insteadOf 必须同时保留，直到本仓与所有组件仓的 .gitmodules 全部迁到
-          # 新端点（policy/facts.md F3 已把新端点列为权威；2026-10-23 实测本仓
-          # .gitmodules 仍有旧端点子模块，Agent-System-Backend 亦然）：
-          #   · 去掉旧端点映射 → 旧端点声明的子模块退回真实 SSH，CI 无 key 必失败；
-          #   · 去掉新端点映射 → RDM/KB 等已迁移的 pins 同样退回真实 SSH 而失败。
-          # 同键多值，git 会依次匹配。
-          export GIT_CONFIG_COUNT=5
+          # 嵌套 pins 的 SSH 端点有两代（旧 git-ssh.* 与迁移后的 gitea.*:52222）；
+          # 只映射旧端点会让嵌套克隆退回真实 SSH，CI 无 key 时必然 host key 失败。
+          # 两个 insteadOf 同键多值，git 会依次匹配。
+          export GIT_CONFIG_COUNT=4
           export GIT_CONFIG_KEY_0="protocol.$scheme.allow"
           export GIT_CONFIG_VALUE_0="always"
           export GIT_CONFIG_KEY_1="http.$SERVER/.extraheader"
           export GIT_CONFIG_VALUE_1="AUTHORIZATION: token $SUBMODULE_TOKEN"
           export GIT_CONFIG_KEY_2="url.$SERVER/weichen/.insteadOf"
-          export GIT_CONFIG_VALUE_2="ssh://git@git-ssh.u1680832.nyat.app:31411/weichen/"
+          export GIT_CONFIG_VALUE_2="ssh://git@gitea.naitangbaobao.cn:52222/weichen/"
           export GIT_CONFIG_KEY_3="core.hooksPath"
           export GIT_CONFIG_VALUE_3="/dev/null"
-          export GIT_CONFIG_KEY_4="url.$SERVER/weichen/.insteadOf"
-          export GIT_CONFIG_VALUE_4="ssh://git@gitea.naitangbaobao.cn:52222/weichen/"
           git clone --depth=1 "$SERVER/weichen/Agent-System-RDM.git" rdm
           # 凭据环境须保持到 pins 子模块取完（insteadOf + token 头覆盖嵌套 SSH URL），
           # 之后再 unset。
@@ -752,8 +748,7 @@ jobs:
           echo "RDM commit: $(git -C rdm rev-parse HEAD)"
           unset GIT_CONFIG_COUNT GIT_CONFIG_KEY_0 GIT_CONFIG_VALUE_0 \
                 GIT_CONFIG_KEY_1 GIT_CONFIG_VALUE_1 GIT_CONFIG_KEY_2 \
-                GIT_CONFIG_VALUE_2 GIT_CONFIG_KEY_3 GIT_CONFIG_VALUE_3 \
-                GIT_CONFIG_KEY_4 GIT_CONFIG_VALUE_4
+                GIT_CONFIG_VALUE_2 GIT_CONFIG_KEY_3 GIT_CONFIG_VALUE_3
           unset SUBMODULE_TOKEN
           make -C rdm build
       - name: Run real-combination lifecycle gates (SQLite, U3, required)

.task/feature-ecs-deploy-dev8788-and-kb.md

@@ -1,6 +1,6 @@
 # feature/ecs-deploy-dev8788-and-kb 任务卡
 
-任务主记录：PR #720 https://git-home.u1680832.nyat.app:30319/weichen/Agent-System-Dev/pulls/720；状态：已完成（合入前闭合）；owner：weichen
+任务主记录：<PR 链接，交付前填写>；状态：进行中；owner：weichen
 
 ## 基线与授权
 
@@ -678,9 +678,3 @@
 }
 ```
 | 同步（记录前对象） | 0650e81133b853f27e8e53f516de8f6c1e73e4a4 | 1a3f9a1e5f08d25cedc82024ba1354b186932777 | 2026-10-23T11:13:15Z |
-
-## 闭合记录（合入前折叠）
-
-- 本卡在 PR #720（https://git-home.u1680832.nyat.app:30319/weichen/Agent-System-Dev/pulls/720）合入前闭合并归档，随该 PR 一同合入。
-- 该 PR 的合并提交即本任务的落地记录。
-- 合入后无需回填，也无需单独的闭合 PR。

plugins/registry.json

@@ -3,7 +3,7 @@
     {
       "id": "rdm",
       "name": "研发记忆 RDM",
-      "repo": "ssh://git@git-ssh.u1680832.nyat.app:31411/weichen/Agent-System-RDM.git",
+      "repo": "ssh://git@gitea.naitangbaobao.cn:52222/weichen/Agent-System-RDM.git",
       "repoEnv": "SVC_RDM_ORIGIN",
       "defaultRef": "origin/main",
       "goModule": "agent-system-rdm",

scripts/svc.sh

@@ -144,7 +144,7 @@ SRC_DIR="${SVC_SRC_DIR:-${XDG_CACHE_HOME:-$HOME/.cache}/agent-system-svc/src}"
 # 独立 RDM 源仓（下游组合仓 Agent-System-RDM 的干净克隆；SVC_RDM_SRC_DIR 覆盖路径，
 # SVC_RDM_ORIGIN 覆盖克隆来源）。rdm 源的解析/列举/物化全部基于它，语义与 SRC_DIR 一致。
 RDM_SRC_DIR="${SVC_RDM_SRC_DIR:-${XDG_CACHE_HOME:-$HOME/.cache}/agent-system-svc/rdm-src}"
-RDM_ORIGIN_DEFAULT="ssh://git@git-ssh.u1680832.nyat.app:31411/weichen/Agent-System-RDM.git"
+RDM_ORIGIN_DEFAULT="ssh://git@gitea.naitangbaobao.cn:52222/weichen/Agent-System-RDM.git"
 
 # 提示信息走 stderr：stdout 只留给数据（提交表/服务表/DSN），便于 $( ) 捕获组合。
 c_info() { [ "${CLI_QUIET:-0}" = 1 ] && return 0; printf '\033[1;34m[svc]\033[0m %s\n' "$*" >&2; }

scripts/task.sh

@@ -813,7 +813,7 @@ card_merge_squash() { # $1=branch $2=ref → squash/rebase 落地没有 merge
   # 仅查最近 5 页（250 条）：card_merge 的 merge 提交路径仍是主路径，此兜底面向新近任务卡。
   local token="${GITEA_TOKEN:-}" web_base url repo owner api payload pg found sha
   [ -n "$token" ] || return 1
-  web_base="${TASK_CARD_WEB_BASE:-https://git-home.u1680832.nyat.app:30319}"
+  web_base="${TASK_CARD_WEB_BASE:-https://gitea.naitangbaobao.cn}"
   url=$(git remote get-url origin 2>/dev/null) || return 1
   url="${url%.git}"
   repo=$(basename "$url"); owner=$(basename "$(dirname "$url")")
@@ -951,7 +951,7 @@ cmd_close_self() {
     esac
     pr="$nums"
   fi
-  web_base="${TASK_CARD_WEB_BASE:-https://git-home.u1680832.nyat.app:30319}"
+  web_base="${TASK_CARD_WEB_BASE:-https://gitea.naitangbaobao.cn}"
   url=$(git remote get-url origin); url="${url%.git}"
   repo=$(basename "$url"); owner=$(basename "$(dirname "$url")")
   link="${web_base}/${owner}/${repo}/pulls/${pr}"
@@ -981,7 +981,7 @@ cmd_close() {
   fetch_target
   # 默认值取远端通告的 Web 面（git push 输出的 PR 建议链接）；可用 TASK_CARD_WEB_BASE 覆盖。
   # git-panel 前缀已失效（TLS 握手失败），默认值改为实测可用的 git-home（AGENTS.md 访问事实节）。
-  local web_base="${TASK_CARD_WEB_BASE:-https://git-home.u1680832.nyat.app:30319}"
+  local web_base="${TASK_CARD_WEB_BASE:-https://gitea.naitangbaobao.cn}"
   local url owner repo
   url=$(git remote get-url origin); url="${url%.git}"
   repo=$(basename "$url"); owner=$(basename "$(dirname "$url")")

scripts/task_triage.py

@@ -29,7 +29,7 @@ import urllib.parse
 import urllib.request
 
 SCHEMA = "agent-system/task-triage/v1"
-DEFAULT_API = "https://git-home.u1680832.nyat.app:30319/api/v1"
+DEFAULT_API = "https://gitea.naitangbaobao.cn/api/v1"
 DEFAULT_TARGET = "main"
 DEFAULT_MAX_AGE = 14400
 PAGE_LIMIT = 50

tests/test_svc_realcombo.py

@@ -49,22 +49,17 @@ def ci_git_env():
     if not (CI_SERVER and CI_TOKEN):
         return {}
     scheme = CI_SERVER.split("://", 1)[0]
-    # 嵌套 pins 的 SSH 端点有两代：旧 git-ssh.*:31411 与迁移后的 gitea.*:52222。
-    # 两个 insteadOf 必须同时保留，直到所有 .gitmodules 迁到新端点（policy/facts.md
-    # F3 已把新端点列为权威；本仓 .gitmodules 仍有旧端点子模块）：任去掉一个，
-    # 对应那批 pins 都会退回真实 SSH，而 CI 运行器没有 key，必然 host key 失败。
+    # 子模块已改用权威 HTTPS 端点；这里只保留权威 SSH 端点的改写，供仍以 SSH 声明 pins 的仓库使用。
     return {
-        "GIT_CONFIG_COUNT": "5",
+        "GIT_CONFIG_COUNT": "4",
         "GIT_CONFIG_KEY_0": "protocol.%s.allow" % scheme,
         "GIT_CONFIG_VALUE_0": "always",
         "GIT_CONFIG_KEY_1": "http.%s/.extraheader" % CI_SERVER,
         "GIT_CONFIG_VALUE_1": "AUTHORIZATION: token " + CI_TOKEN,
         "GIT_CONFIG_KEY_2": "url.%s/weichen/.insteadOf" % CI_SERVER,
-        "GIT_CONFIG_VALUE_2": "ssh://git@git-ssh.u1680832.nyat.app:31411/weichen/",
+        "GIT_CONFIG_VALUE_2": "ssh://git@gitea.naitangbaobao.cn:52222/weichen/",
         "GIT_CONFIG_KEY_3": "core.hooksPath",
         "GIT_CONFIG_VALUE_3": "/dev/null",
-        "GIT_CONFIG_KEY_4": "url.%s/weichen/.insteadOf" % CI_SERVER,
-        "GIT_CONFIG_VALUE_4": "ssh://git@gitea.naitangbaobao.cn:52222/weichen/",
     }
 PG = os.environ.get("SVC_TEST_PG") == "1" and bool(os.environ.get("AGENT_PG_TEST_DSN"))