fix(gate): alpha tip 是红的 —— 上游 sync 打红两道闸,每条 lane 的 push 都被拦

[jinjunnn]

为什么开这张 PR

今晚三条独立 lane(#1433 / #1445 / #1448)各自跑完本机门之后都 push 不出去,
红的是同一对测试。逐条查下来不是谁的改动坏了 —— 是 57646831b 这次上游 sync
把两条改动带进 alpha,各打红一道闸。alpha tip 自己是红的,每条基于它的 lane 都被拦。

三条 lane 的证据互为对照:#1445 在零改动的 base 上跑了一遍门(RC=1),
#1448 与 #1433 在各自树上复现同一文件同一行。

一、debug config 现在给凭证打码

上游 82d4c8903 fix(opencode): redact credentials in debug config (#50956) 起,
redactConfig() 把 headers 下的每个字符串值换成 "***",没有开关
(packages/opencode/src/cli/cmd/debug/redact.ts;同一 commit 顺带删掉了
builder: (yargs) => yargs)。

mcp-server-derivation.test.ts 的 ③ 用 debug config 读回真引擎合并后的配置,
于是 X-Token: "t" 恒红。

改成断言脱敏后的形状,而不是删掉或放宽这一格:

• 这一格真正要判的是「连接字段以真源为准」—— 判据是 url(真源 mcp.example.com
  压过 XDG 的 user-global.example)。redactConfig 只在 URL 带用户名/口令/敏感
  query 时才动 url,这里逐字未脱敏,判据完好;
• 头部的真实值由 ① 那一格逐字断言,那一格读的是我们自己的注入面、不经引擎。
  ⇒ 「值有没有原样传下去」没有因为这次改动失去判官。

二、transform.test.ts 被上游加了 24 条用例

登记 561,实测 585。git diff 57646831b^1 57646831b 对该文件纯增量(零条
test( / it( 被删),与前两次同步同形(368 → 411 → 561 → 585)。按脚本自己的
--update 写回,all-or-nothing,diff 恰好一行。

顺带记一条本机陷阱(不在本 PR 的 diff 里,已另记 governance)

scripts/assert-gate-files.sh --update 在新建 worktree 里跑不动,因为它要跑全部
闸门文件,而 bootstrap 过的树仍缺两个未追踪产物,各有各的指纹:

• electron/path.txt + dist/ 缺失 ⇒ process-fence-apply.test.ts 恒红
  (error: ENOENT … electron/path.txt);
• native/alpha-fence/build/alpha_fence.node 缺失 ⇒ process-fence-wiring.test.ts
  10/12(process fence: native module missing at …,报错自己点名了
  scripts/build-fence-addon.ts)。

补齐这两个之后 --update 一次通过。

Refs #1414

🤖 Generated with Claude Code