zqlit/blog
1
0 Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

chore(远端): 移除 GitHub，改为「CNB 主仓 + Gitee 辅仓」

Browse Source 
起因：GitHub 账号被平台标记，随后仓库被按 AUP 合规条款清空 ——
远端只剩一条孤立提交（无父提交、无内容）：

    c21d5669  2026-10-06 20:08:32 +0800  zqlit
    chore: remove repository content (AUP compliance)

同时远端 main 的历史与本地**完全分叉**：两边只共享 2024-07-11 的 Initial commit，
之后每个提交 SHA 都不同（远端那份 989 提交、剥离了 .env/私钥/大二进制）。
所以 `git push gh main` 无法快进，也不可能再当备份用。

改动：

- `git remote remove gh`（改动前配置存 .workbuddy-backup/git-remotes.20261006-201354.txt）
- `pushall` 别名 → `git push origin main; git push gitee main`
- `scripts/setup-cnb-remotes.sh`：参数化第二个远端为 Gitee，
  顺带把「若残留 gh remote 就清掉」做进脚本；Gitee 凭据走 wincred
- `架构总览.md`：§2 发布旅程图、§5.2 远端表、§6 遗留待办全部改指向；
  新增 §5.2 的 GitHub 退役记录（含那条孤立提交的原文）
  与 §5.3「Gitee 辅仓的两条硬约束」实测核算
- `CNB构建落地方案.md`、`README.md`：远端与 pushall 说明同步
- **发布链路一起去 GitHub 化**（这几处原先都写死了 gh）：
    · `deploy/editor-api/bootstrap.sh`  GH_URL/GH_SSH_KEY → GITEE_URL/GITEE_SSH_KEY，
      remote `gh` → `gitee`，known_hosts/私钥文件名跟着改；
      保留原设计：**没给私钥就自动降级成只推 origin**，不会让每次发布都报错
    · `docker-compose.editor.yml`   PUSH_REMOTES → origin,gitee
    · `editor-api/server.mjs`       默认值 → 'origin,gitee'
    · `editor-api/README.md`        变量表同步

★ 尚未解决 / 需要决策的两条 Gitee 硬约束（详见 架构总览.md §5.3）：

1. **单文件 ≤ 50MB，而 `bin/linux/hugo` 是 83.1MB**
   —— 不管怎么瘦身历史，只要它还跟踪在 HEAD 里，Gitee 一律拒收。
2. 单仓库 ≤ 500MB，而 `.git` 是 620MB
   —— 移出那个 83MB 后 HEAD ≈ 374MB，才有余量。

另：线上 editor-api 容器的 .env 仍是 `PUSH_REMOTES=origin,gh`，
且仓库里还有一个 `gh` remote。因为推送逻辑对辅仓失败只警告、不阻断发布
（`git.mjs`：主仓成即算成），所以**线上发布没有坏**；
但要真正切到 Gitee，需要等 Gitee 仓库与私钥就位后再部署一次。
This commit is contained in:
zqlit committed 2026-10-06 20:18:29 +08:00
1 parent 740d77e4cb
commit b39dc29753
8 files changed
+172 -68
Download Patch File Download Diff File Expand all files Collapse all files

No files matched your search

CNB构建落地方案.md
+9 -4
View File
@@ -149,11 +149,14 @@ CNB 只替换「构建 + 搬运」这一段，顺带砍掉广州中转机上那
```
origin → https://cnb.cool/<组织>/<仓库> ← 主仓（fetch + push），CNB 构建由它触发
gh → git@github.com:zqlit/blog.git ← 备份（push），只存档不参与构建
gitee → https://gitee.com/<用户名>/blog ← 辅仓（push），异地备份，不参与构建
gitea → 自建 Gitea ← 暂时留着当只读参考，链路稳定后手工删
```
一条命令推两段：`git pushall`（等价于 `git push origin main; git push gh main`）。
一条命令推两段：`git pushall`（等价于 `git push origin main; git push gitee main`）。
> ⚠️ **2026-10-06 变更**：GitHub（原 `gh` remote）已移除 —— 账号被平台标记、
> 仓库被按 AUP 清空，故改为 Gitee 辅仓。详见 `架构总览.md` §5.2 / §5.3。
**★ 为什么不用「一个 remote 挂多个 pushurl」**
@@ -170,11 +173,13 @@ gitea → 自建 Gitea ← 暂时留着当只读参考，
**脚本**（已就位，可直接用）
```bash
bash scripts/setup-cnb-remotes.sh https://cnb.cool/<组织>/<仓库>
bash scripts/setup-cnb-remotes.sh https://cnb.cool/<组织>/<仓库> \
https://gitee.com/<用户名>/blog.git
```
它会先把你现有的远端配置（含明文凭据）备份到 `.workbuddy-backup/git-remotes.<时间戳>.txt`，
再重建 `origin`/`gh` 并注册 `pushall` 别名 —— 可回退。
再重建 `origin`/`gitee` 并注册 `pushall` 别名 —— 可回退。
（Gitee 参数可省略；省略时只配 CNB，已有同名远端保持不变。）
**★ CNB 不支持 SSH（官方明确）**
README.md
+2 -2
View File
@@ -94,8 +94,8 @@ CNB 主仓 zqlit/blog ──触发──► CNB 流水线（国内节点，约 3
└─ 邮件通知
```
- **推送**：`git pushall` = `git push origin main; git push gh main`
（`origin` = CNB 主仓，`gh` = GitHub 备份）
- **推送**：`git pushall` = `git push origin main; git push gitee main`
（`origin` = CNB 主仓，触发构建；`gitee` = 辅仓，异地备份、不构建）
- **触发**：推送到 `main`；另有每日 `0 9 * * *`（北京时间）定时构建
- **密钥**：全部来自 CNB 密钥仓库 `zqlit/blog-secrets`，经 `.cnb.yml` 的 `imports` 注入，
**仓库里没有任何明文密钥**
deploy/editor-api/bootstrap.sh
+18 -15
View File
@@ -20,15 +20,18 @@
#
# 可选环境变量（都有默认值）：
# CNB_URL 默认 https://cnb.cool/zqlit/blog.git
# GH_URL 默认 git@github.com:zqlit/blog.git（配了 GH_SSH_KEY 才会推它）
# GH_SSH_KEY 可选：GitHub 部署私钥的**内容**。给了才会把 gh 加进推送远端，
# GITEE_URL 默认 git@gitee.com:zqlit/blog.git（配了 GITEE_SSH_KEY 才会推它）
# GITEE_SSH_KEY 可选：Gitee 部署私钥的**内容**。给了才会把 gitee 加进推送远端，
# 否则 PUSH_REMOTES 自动降级成只推 origin（CNB 主仓）
# BLOG_DIR /srv/blog 仓库工作区
# APP_DIR /srv/editor-api compose + .env
# TRASH_DIR /srv/editor-trash 删除文章的回收目录（故意放在仓库外）
# BIND_PORT 8017 只绑 127.0.0.1
# PUSH_REMOTES origin,gh
# PUSH_REMOTES origin,gitee
# GIT_AUTHOR_NAME / GIT_AUTHOR_EMAIL / BLOG_BASE
#
# ★ 2026-10-06：原先的 GitHub（GH_URL / GH_SSH_KEY / remote `gh`）已随账号被标记
# 而退役，备份远端改为 Gitee。旧的 GH_* 变量不再被读取。
# =====================================================================
set -euo pipefail
@@ -40,7 +43,7 @@ die() { printf '\033[1;31m!! %s\033[0m\n' "$*" >&2; exit 1; }
: "${ADMIN_PASS:?必须设置 ADMIN_PASS（后台登录密码，账号固定 admin）}"
CNB_URL="${CNB_URL:-https://cnb.cool/zqlit/blog.git}"
GH_URL="${GH_URL:-git@github.com:zqlit/blog.git}"
GITEE_URL="${GITEE_URL:-git@gitee.com:zqlit/blog.git}"
BLOG_DIR="${BLOG_DIR:-/srv/blog}"
APP_DIR="${APP_DIR:-/srv/editor-api}"
TRASH_DIR="${TRASH_DIR:-/srv/editor-trash}"
@@ -48,10 +51,10 @@ BIND_PORT="${BIND_PORT:-8017}"
GIT_AUTHOR_NAME="${GIT_AUTHOR_NAME:-blog-editor}"
GIT_AUTHOR_EMAIL="${GIT_AUTHOR_EMAIL:-editor@usj.cc}"
BLOG_BASE="${BLOG_BASE:-}"
PUSH_REMOTES="${PUSH_REMOTES:-origin,gh}"
PUSH_REMOTES="${PUSH_REMOTES:-origin,gitee}"
# 没有 GitHub 私钥就只推主仓 —— 宁可少推一个备份，也不要让每次发布都报错
if [ -z "${GH_SSH_KEY:-}" ]; then
# 没有 Gitee 私钥就只推主仓 —— 宁可少推一个备份，也不要让每次发布都报错
if [ -z "${GITEE_SSH_KEY:-}" ]; then
PUSH_REMOTES="origin"
fi
@@ -76,15 +79,15 @@ else
git clone --branch main "$AUTH_URL" "$BLOG_DIR"
fi
# gh 备份远端：只有给了私钥才配
if [ -n "${GH_SSH_KEY:-}" ]; then
# gitee 辅仓远端：只有给了私钥才配（没给就只推 origin，见上面 PUSH_REMOTES 降级）
if [ -n "${GITEE_SSH_KEY:-}" ]; then
install -d -m 700 ~/.ssh
printf '%s\n' "$GH_SSH_KEY" > ~/.ssh/blog_editor_github
chmod 600 ~/.ssh/blog_editor_github
ssh-keyscan -t rsa,ed25519 github.com >> ~/.ssh/known_hosts 2>/dev/null || true
git -C "$BLOG_DIR" remote remove gh 2>/dev/null || true
git -C "$BLOG_DIR" remote add gh "$GH_URL"
git -C "$BLOG_DIR" config core.sshCommand "ssh -i ~/.ssh/blog_editor_github -o StrictHostKeyChecking=accept-new"
printf '%s\n' "$GITEE_SSH_KEY" > ~/.ssh/blog_editor_gitee
chmod 600 ~/.ssh/blog_editor_gitee
ssh-keyscan -t rsa,ed25519 gitee.com >> ~/.ssh/known_hosts 2>/dev/null || true
git -C "$BLOG_DIR" remote remove gitee 2>/dev/null || true
git -C "$BLOG_DIR" remote add gitee "$GITEE_URL"
git -C "$BLOG_DIR" config core.sshCommand "ssh -i ~/.ssh/blog_editor_gitee -o StrictHostKeyChecking=accept-new"
fi
# 容器里要能 commit —— 顺手把身份写进仓库配置（不改全局）
docker-compose.editor.yml
+1 -1
View File
@@ -27,7 +27,7 @@ services:
# 容器内监听 0.0.0.0 没关系 —— 外面那层端口映射已经把它锁在宿主机回环上了
BIND_HOST: 0.0.0.0
GIT_BRANCH: main
PUSH_REMOTES: origin,gh
PUSH_REMOTES: origin,gitee
GIT_AUTHOR_NAME: blog-editor
GIT_AUTHOR_EMAIL: editor@usj.cc
MAX_UPLOAD_MB: "20"
editor-api/README.md
+1 -1
View File
@@ -67,7 +67,7 @@
| `BIND_HOST` | `0.0.0.0` | 容器内监听地址；靠 compose 的端口映射限成 127.0.0.1 |
| `TRASH_DIR` | `/app/trash` | 删除文章的回收目录（**在仓库外**，不进 git） |
| `GIT_BRANCH` | `main` | 工作分支 |
| `PUSH_REMOTES` | `origin,gh` | 依次推送；主仓失败才算发布失败，备份仓失败只警告 |
| `PUSH_REMOTES` | `origin,gitee` | 依次推送；主仓失败才算发布失败，辅仓失败只警告 |
| `GIT_AUTHOR_NAME` / `GIT_AUTHOR_EMAIL` | `blog-editor` | 自动提交的作者 |
| `DEFAULT_AUTHOR` | 空 | 新建文章时 front matter `author` 的默认值 |
| `MAX_UPLOAD_MB` | `20` | 单张图片上限 |
editor-api/server.mjs
+1 -1
View File
@@ -29,7 +29,7 @@ const cfg = {
contentDir: path.resolve(env.BLOG_ROOT || '/blog', 'content', 'posts'),
trashDir: path.resolve(env.TRASH_DIR || '/app/trash'),
branch: env.GIT_BRANCH || 'main',
pushRemotes: (env.PUSH_REMOTES || 'origin,gh').split(',').map((s) => s.trim()).filter(Boolean),
pushRemotes: (env.PUSH_REMOTES || 'origin,gitee').split(',').map((s) => s.trim()).filter(Boolean),
authorName: env.GIT_AUTHOR_NAME || 'blog-editor',
authorEmail: env.GIT_AUTHOR_EMAIL || 'editor@localhost',
defaultAuthor: env.DEFAULT_AUTHOR || '',
scripts/setup-cnb-remotes.sh
+86 -30
View File
@@ -1,29 +1,47 @@
#!/usr/bin/env bash
# 把主仓从「GitHub + 自建 Gitea 双推」切换成「CNB 主仓 + GitHub 备份」
# 配置远端：CNB 主仓 + Gitee 辅仓（异地备份，不参与构建）
#
# 历史沿革：
# 2026-10-04 从「GitHub + 自建 Gitea 双推」切到「CNB 主 + GitHub 备份」
# 2026-10-06 GitHub 账号被平台标记、仓库被按 AUP 清空 → 移除 gh，
# 改为「CNB 主 + Gitee 辅」（见 架构总览.md §5.2）
#
# 为什么不用「一个 remote 挂多个 pushurl」：
# 实测（2026-10-04）git 对多个 pushurl 是「顺序推、遇错即停」——
# 第一个失败，后面的远端一个都不会推。那就失去备份意义了。
# 故拆成两个 remote + 一个 alias，两段各自独立、互不阻塞。
#
# 用法：bash scripts/setup-cnb-remotes.sh https://cnb.cool/<组织>/<仓库>
# 附带令牌（可直接把凭据写进系统凭据管理器）：
# CNB_TOKEN='你的令牌' bash scripts/setup-cnb-remotes.sh https://cnb.cool/<组织>/<仓库>
# 用法：
# bash scripts/setup-cnb-remotes.sh <CNB_URL> [GITEE_URL]
#
# 例：
# bash scripts/setup-cnb-remotes.sh https://cnb.cool/zqlit/blog \
# https://gitee.com/zqlit/blog.git
#
# 附带令牌（直接写进 Windows 凭据管理器，以后不再输）：
# CNB_TOKEN='你的令牌' GITEE_TOKEN='你的私人令牌' \
# bash scripts/setup-cnb-remotes.sh https://cnb.cool/zqlit/blog https://gitee.com/zqlit/blog.git
#
# 回退：脚本会把改动前的配置备份到 .workbuddy-backup/git-remotes.<时间戳>.txt
set -euo pipefail
CNB_URL="${1:-}"
GH_URL="${GH_URL:-git@github.com:zqlit/blog.git}"
GITEE_URL="${2:-${GITEE_URL:-}}"
if [ -z "$CNB_URL" ]; then
cat <<'USAGE'
用法：bash scripts/setup-cnb-remotes.sh https://cnb.cool/<组织>/<仓库>
用法：bash scripts/setup-cnb-remotes.sh <CNB_URL> [GITEE_URL]
提示：
· CNB 仓库地址直接用仓库页地址，带不带 .git 都行
· CNB 不支持 SSH，只能 HTTPS + 访问令牌（用户名固定填 cnb，密码填令牌）
· 令牌在「个人设置 → 访问令牌」创建，勾选「代码仓库 → 读写」
· CNB / Gitee 仓库地址直接用仓库页地址，带不带 .git 都行
· CNB **不支持 SSH**，只能 HTTPS + 访问令牌（用户名固定填 cnb，密码填令牌）
令牌：「个人设置 → 访问令牌」，勾「代码仓库 → 读写」
· Gitee 支持 HTTPS + 私人令牌（也可用 SSH）
令牌：「设置 → 私人令牌」→ https://gitee.com/profile/personal_access_tokens
勾选 projects（仓库读写）；用户名填 Gitee 用户名
· ⚠️ Gitee 免费版：单仓库 ≤ 500MB、单文件 ≤ 50MB。
本仓 `bin/linux/hugo` 是 83.1MB，**必须先移出 git** 才推得上去。
USAGE
exit 1
fi
@@ -33,6 +51,13 @@ case "$CNB_URL" in
*) echo "地址看起来不是 CNB 的：$CNB_URL"; exit 1 ;;
esac
if [ -n "$GITEE_URL" ]; then
case "$GITEE_URL" in
https://gitee.com/*|git@gitee.com:*) ;;
*) echo "地址看起来不是 Gitee 的：$GITEE_URL"; exit 1 ;;
esac
fi
ROOT="$(git rev-parse --show-toplevel)"
cd "$ROOT"
@@ -51,49 +76,80 @@ mkdir -p .workbuddy-backup
} > "$BACKUP"
echo "原配置已备份：$BACKUP"
# 1) origin = CNB（主仓，fetch + push）
# 1) origin = CNB（主仓，fetch + push，触发构建）
git remote remove origin 2>/dev/null || true
git remote add origin "$CNB_URL"
# 2) gh = GitHub（备份）
git remote remove gh 2>/dev/null || true
git remote add gh "$GH_URL"
# 2) gitee = 辅仓（异地备份，不参与构建）
# 没给地址就保留现有同名 remote 不动（避免把已配好的删掉）
if [ -n "$GITEE_URL" ]; then
git remote remove gitee 2>/dev/null || true
git remote add gitee "$GITEE_URL"
else
echo "未提供 GITEE_URL —— 跳过 gitee remote（现有同名远端保持不变）"
fi
# 3) 自建 Gitea 暂时留着当只读参考。确认新链路稳定后再手工执行：
# 3) gh（GitHub）已退役，若有残留直接清掉
if git remote | grep -qx gh; then
git remote remove gh
echo "已移除残留的 gh（GitHub）远端"
fi
# 4) 自建 Gitea 暂时留着当只读参考。确认新链路稳定后再手工执行：
# git remote remove gitea
# 4) 一条命令推两段。用「;」而不是「&&」——CNB 失败时照样把 GitHub 推上去
git config alias.pushall '!git push origin main; git push gh main'
# 5) 一条命令推两段。用「;」而不是「&&」——CNB 失败时照样把 Gitee 推上去
git config alias.pushall '!git push origin main; git push gitee main'
# 5) 凭据：CNB 只认 HTTPS + 令牌（用户名固定 cnb）
# 6) 凭据
#
# 本机全局 helper 是 GCM（git-credential-manager.exe）。实测它对 cnb.cool 这类
# 第三方 HTTPS 远端会**每次都弹窗**，而且 GCM_INTERACTIVE=never +
# GIT_TERMINAL_PROMPT=0 都压不住 —— git ls-remote 直接挂死（timeout 25s 未返回）。
# → 本仓显式改用 wincred：同样写 Windows 凭据管理器（加密），但没有 UI 弹窗。
# （另：PortableGit 未打包 git-credential-store，exec-path / mingw64/bin 都没有）
if [ -n "${CNB_TOKEN:-}" ]; then
git config --local credential.helper ""
git config --local credential.https://cnb.cool.helper wincred
printf 'protocol=https\nhost=cnb.cool\nusername=cnb\npassword=%s\n\n' "$CNB_TOKEN" \
store_cred() { # host username password
printf 'protocol=https\nhost=%s\nusername=%s\npassword=%s\n\n' "$1" "$2" "$3" \
| git credential-wincred store
echo "凭据已写入 Windows 凭据管理器（wincred，无弹窗）；本仓已屏蔽 GCM"
}
if [ -n "${CNB_TOKEN:-}" ] || [ -n "${GITEE_TOKEN:-}" ]; then
git config --local credential.helper ""
fi
if [ -n "${CNB_TOKEN:-}" ]; then
git config --local credential.https://cnb.cool.helper wincred
store_cred cnb.cool cnb "$CNB_TOKEN"
echo "CNB 凭据已写入 Windows 凭据管理器（wincred，无弹窗）"
else
echo "未提供 CNB_TOKEN，已跳过凭据写入。需要时重跑："
echo "未提供 CNB_TOKEN，已跳过。需要时重跑："
echo " CNB_TOKEN='你的令牌' bash scripts/setup-cnb-remotes.sh $CNB_URL"
fi
if [ -n "${GITEE_TOKEN:-}" ]; then
if [ -z "${GITEE_USER:-}" ]; then
echo "⚠️ 提供了 GITEE_TOKEN 但没给 GITEE_USER（Gitee 用户名），跳过 Gitee 凭据写入"
else
git config --local credential.https://gitee.com.helper wincred
store_cred gitee.com "$GITEE_USER" "$GITEE_TOKEN"
echo "Gitee 凭据已写入 Windows 凭据管理器（wincred）"
fi
else
echo "未提供 GITEE_TOKEN，已跳过。需要时重跑："
echo " GITEE_USER='你的用户名' GITEE_TOKEN='你的私人令牌' bash scripts/setup-cnb-remotes.sh $CNB_URL \$GITEE_URL"
fi
echo
echo "=== 当前远端 ==="
git remote -v | sed -E 's#://[^@/]*@#://***@#g'
echo
echo "=== 令牌权限检查（CNB 常见坑）==="
echo " · 令牌须在「个人设置 → 访问令牌」勾选 repo-code（读写）"
echo " 只勾了其它 scope 会报 403：token does not have the repo-code:r scope"
echo " · 使用范围（Scope of Use）要涵盖本仓库/"
echo " · 用户名固定 cnb，密码填令牌（不支持 SSH）"
echo "=== 推送前自检 ==="
echo " 1) 有没有超 Gitee 单文件上限（50MB）的文件："
echo " git ls-tree -r -l HEAD | awk '\$4>52428800 {print \$4/1048576\" MB \"\$5}'"
echo " 2) .git 体积（Gitee 上限 500MB）：du -sh .git"
echo
echo "=== 下一步 ==="
echo " git push origin main # 推到 CNB（首次会传全量历史，约 588MB）"
echo " git push gh main # 推到 GitHub 备份"
echo " git push origin main # 推到 CNB（触发构建）"
echo " git push gitee main # 推到 Gitee 辅仓"
echo " git pushall # 两段一起"
架构总览.md
+54 -14
View File
@@ -48,9 +48,9 @@
```
① 写作 write-server（网页） 或 write/（本地 Windows）
│
② git push git pushall = git push origin main ; git push gh main
② git push git pushall = git push origin main ; git push gitee main
│ ├─ origin → cnb.cool/zqlit/blog （主仓，触发构建）
│ └─ gh → github.com/zqlit/blog （备份，不构建）
│ └─ gitee → gitee.com/…/blog （辅仓，异地备份，不构建）
▼
③ CNB 流水线（国内节点，约 3.5 分钟，7 个 stage 顺序执行）
├─ 1. Hugo 构建 草稿隐藏预处理 → hugo --minify --gc → 算构建哈希
@@ -112,7 +112,7 @@
### 5.1 推送
```bash
git pushall # 别名 = git push origin main; git push gh main
git pushall # 别名 = git push origin main; git push gitee main
```
用 `;` 而非 `&&` —— **一段失败不影响另一段**（实测：串联 `pushurl` 时第一个失败会中止后续）。
@@ -121,17 +121,54 @@ git pushall # 别名 = git push origin main; git push gh main
| remote | 地址 | 角色 |
|---|---|---|
| `origin` | `https://cnb.cool/zqlit/blog.git` | **主仓**（fetch + push） |
| `gh` | `git@github.com:zqlit/blog.git` | **备份**（push） |
| `gitea` | 自建 `23.254.236.47:3001` | 过渡期只读参考，稳定后手工删 |
| `origin` | `https://cnb.cool/zqlit/blog.git` | **主仓**（fetch + push，触发 CNB 构建） |
| `gitee` | `https://gitee.com/<用户名>/blog.git` | **辅仓**（push，异地备份，不参与构建） |
| `gitea` | 自建 `23.254.236.47:3001` | 只读参考，稳定后手工删 |
### 5.3 凭据
> ⚠️ **`gh`（GitHub）已于 2026-10-06 移除。**
> 起因：GitHub 账号被平台标记，随后仓库被按 AUP 合规条款清空 ——
> 远端留下一条**孤立提交**（无父提交）：
> ```
> c21d5669 2026-10-06 20:08:32 +0800 zqlit <zqlit@users.noreply.github.com>
> chore: remove repository content (AUP compliance)
> ```
> 同时远端 `main` 的历史与本地**完全分叉**（两边只共享 2024-07-11 的 `Initial commit`，
> 之后每个提交 SHA 都不同；远端那份是 989 提交、剥离了 `.env`/私钥/大二进制的变体）。
> 教训：**别把「备份」寄托在会对内容做合规处置的平台上**；
> 且一旦某次历史被重写，SHA 从此再也对不上。
> 远端配置的改动前快照留在 `.workbuddy-backup/git-remotes.20261006-201354.txt`。
### 5.3 Gitee 辅仓的两条硬约束（2026-10-06 实测核算）
| 约束 | Gitee 免费版 | 本仓库当前 | 判定 |
|---|---|---|---|
| 单仓库容量 | **≤ 500 MB** | `.git` **620 MB** | ❌ 超 24% |
| 单文件大小 | **≤ 50 MB** | `bin/linux/hugo` **83.1 MB** | ❌ **必删** |
| 用户总仓库容量 | 5 GB | 620 MB | ✅ |
| 私有仓协作人数 | 5 人 | 个人 | ✅ 无关 |
`bin/linux/hugo` 这一条是**硬门槛**：它 83.1MB，超过单文件上限，
**不管怎么瘦身历史，只要它还跟踪在 HEAD 里，Gitee 一律拒收**。
体积分布（HEAD，实测 457.4 MB / 2509 文件）：
| 目录 | 体积 | 说明 |
|---|---|---|
| `content/`（含 `posts/`） | ≈ 308 MB | 博客正文与媒体（mp4/mp3/大图），**搬不走** |
| `bin/linux/hugo` | **83.1 MB** | CNB 构建用的 hugo 二进制，**可移出 git** |
| `static/` | ≈ 38 MB | 站点静态资源 |
| `themes/` | 20.3 MB | Ying 主题 |
| 其余全部 | ≈ 8 MB | 代码、文档、脚本 |
→ 移出 `bin/linux/hugo` 后 HEAD ≈ **374 MB**，Gitee 有一份余量。
### 5.4 凭据
- 令牌存**仓库外**：`~/.workbuddy/secrets/cnb-token`
- 本仓 `credential.helper` 指向一个自定义脚本；`.git/config` **无明文**
- ⚠️ 本机全局 helper 是 **GCM**（会弹窗、对第三方 HTTPS 远端还会挂死）；wincred 对 cnb.cool 有过「幽灵记录」删不掉 → 故用自定义 helper 绕开
### 5.4 密钥
### 5.5 密钥
- 修改密钥 → 编辑 CNB 密钥仓库的 `secrets.yml`（**网页编辑，禁 clone**）
- 本地 `cnb-secrets.yml` 只是粘贴草稿（已 gitignore，**不入库**）
@@ -144,12 +181,15 @@ git pushall # 别名 = git push origin main; git push gh main
| # | 项 | 说明 |
|---|---|---|
| 1 | `gitea` remote | 只读保留，稳定几天后 `git remote remove gitea` |
| 2 | GitHub 侧旧 workflow | `deploy.yml` / `cleanup.yml` / `aliyun-backup.yml` 已无用途，可删 |
| 3 | 令牌 scope | 缺 `repo-cnb-history:r`（读构建日志）；补上后 agent 可自行排错 |
| 4 | Gitea 主机 | 发布链路已不依赖；是否退役取决于其它用途 |
| 5 | 广州中转机 | 同上（`sync.sh` 轮询已无用；机上另有 1Panel / vaultwarden 等服务） |
| 6 | `README.md` | 仍写着旧 GitHub Actions 流程，待更新 |
| 1 | `gh` remote（GitHub） | ✅ **已移除**（2026-10-06）。GitHub 账号被标记、仓库被 AUP 清空，改以 Gitee 为辅仓 |
| 2 | **Gitee 辅仓** | 待办：①「个人设置 → 访问令牌」建令牌（勾 `projects` 读写）；②建**私有**仓库；③`git remote add gitee …`；④解决 §5.3 的两条硬约束 |
| 3 | `bin/linux/hugo` 出库 | 83.1MB，超 Gitee 单文件上限。需改为构建时获取（国内镜像 / CNB 对象存储），同时看 CNB 的 `docker build by:` 字段要跟着改 |
| 4 | `gitea` remote | 只读保留，稳定几天后 `git remote remove gitea` |
| 5 | GitHub 侧旧 workflow | `.github/workflows/*`（`deploy.yml` 1169 行 + 两个辅助）已随 GitHub 一并退役，可删 |
| 6 | 令牌 scope | 缺 `repo-cnb-history:r`（读构建日志）；补上后 agent 可自行排错 |
| 7 | Gitea 主机 / 广州中转机 | 发布链路已不依赖；是否退役取决于其它用途 |
| 8 | `README.md` | 仍写着旧 GitHub Actions 流程，待更新 |
| 9 | **敏感文件仍在跟踪中** | `.env`、`GITEA_SECRETS.md`、`write-server/nginx/ssl/privkey.pem`、`content/posts/2024/.../setup-secrets.png` —— 推任何一个新平台前都应先 `git rm --cached` 并轮换凭据 |
---