Merge pull request #201 from HackForger/v0.1-dev/hackforger

chore(security): promote public boundary cleanup to prod

Author: allenwoods

.claude/hookify.protect-archive-branches.local.md

@@ -4,9 +4,7 @@
       "Bash(bash scripts/restart-gitea.sh)",
       "Bash(bash scripts/restart-gitea.sh *)",
       "Bash(./scripts/restart-gitea.sh)",
-      "Bash(./scripts/restart-gitea.sh *)",
-      "Bash(/Users/h2oslabs/Workspace/hackforger/scripts/restart-gitea.sh)",
-      "Bash(/Users/h2oslabs/Workspace/hackforger/scripts/restart-gitea.sh *)"
+      "Bash(./scripts/restart-gitea.sh *)"
     ]
   },
   "hooks": {
@@ -17,14 +15,6 @@
           {
             "type": "command",
             "command": "if echo \"$CLAUDE_TOOL_INPUT\" | grep -qE '\\btea\\s+(issue|pr|repo|release|login)'; then echo 'BLOCKED: Please use `gh` instead of `tea`. tea is the Forgejo/Codeberg CLI; we develop on GitHub. Equivalent: gh issue / gh pr / gh repo.' >&2; exit 2; fi"
-          },
-          {
-            "type": "command",
-            "command": "if echo \"$CLAUDE_TOOL_INPUT\" | grep -qE 'codeberg\\.org/(Synnovator|HackForge)'; then echo 'BLOCKED: The project is hosted on GitHub, not Codeberg. Correct address: github.com/HackForger/hackforger' >&2; exit 2; fi"
-          },
-          {
-            "type": "command",
-            "command": "if echo \"$CLAUDE_TOOL_INPUT\" | grep -qE 'hackforge\\.inside\\.h2os\\.cloud'; then echo 'BLOCKED: The internal instance address is hackforger.inside.h2os.cloud (with r). Please update the URL.' >&2; exit 2; fi"
           }
         ]
       },

.claude/hookify.protect-worktrees.local.md

@@ -14,17 +14,17 @@ body:
     id: page_url
     attributes:
       label: 出问题的页面 URL
-      description: 完整地址。如果是登录后才能看到的页面，**也直接贴 URL**，我们能猜到要登录哪个账户。
-      placeholder: "https://www.synnovator.com/hackathon/opc-2026-xxxxx"
+      description: 请使用中立测试实例或脱敏路径；不要公开生产域名、内部地址、查询参数中的令牌或客户标识。
+      placeholder: "https://hackforger.example.invalid/hackathon/example-event"
     validations:
       required: true
 
   - type: input
     id: account
     attributes:
       label: 你用什么账号操作的？
-      description: 用户名（不要填密码）。如果是匿名访问，写 `匿名`。
-      placeholder: "linyilun"
+      description: 只填写可公开的测试用户名（绝不填写密码、真实生产账号或个人身份）；匿名访问写 `匿名`。
+      placeholder: "example-user"
     validations:
       required: true
 
@@ -35,10 +35,10 @@ body:
       description: |
         从打开浏览器开始一步一步写。最理想是别人按你这个步骤一定能看到同样的现象。
       placeholder: |
-        1. 用 linyilun 账号登录
-        2. 打开 https://www.synnovator.com/hackathon/opc-2026-shuzhi-w1
+        1. 用测试账号登录
+        2. 打开对应活动页面
         3. 点页面右下角"报名"区
-        4. 在"选择仓库"下拉框里找 H2OSLabs/page.h2oslabs.com
+        4. 在"选择仓库"下拉框里查找有权限的组织仓库
       value: |
         1.
         2.
@@ -51,7 +51,7 @@ body:
     attributes:
       label: 期望看到 / 期望发生的事
       description: 一两句话即可。
-      placeholder: 下拉里应该列出我所属的 H2OSLabs 组织的所有可写仓库，包括 page.h2oslabs.com
+      placeholder: 下拉里应该列出我所属组织的所有可写仓库
     validations:
       required: true
 
@@ -71,6 +71,7 @@ body:
       description: |
         **强烈建议**贴 1-3 张截图（直接拖图到这个框里就会自动上传）。一张图胜过一千字。
         如果是涉及多步操作的 bug，请截图关键步骤；如果有错误弹窗 / 红字提示，必须截图。
+        上传前必须遮盖真实用户名、邮箱、令牌、内部域名、客户数据和其他非公开信息。
       placeholder: 直接拖拽图片到这里
     validations:
       required: false
@@ -93,8 +94,8 @@ body:
     attributes:
       label: 你在哪个环境测的？
       options:
-        - "线上 https://www.synnovator.com"
-        - "内网 https://hackforger.inside.h2os.cloud"
+        - "生产实例"
+        - "预发布 / 测试实例"
         - "本地开发实例"
         - "其他（请在描述里说明）"
     validations:
@@ -116,3 +117,11 @@ body:
       description: 比如"以前能用，今天突然不行"、"换个账号就好了"、"前几天 #134 改了相关功能可能有影响"等线索都欢迎写在这里。
     validations:
       required: false
+
+  - type: checkboxes
+    id: public-boundary
+    attributes:
+      label: 公开信息确认
+      options:
+        - label: 我已确认本 issue 不含凭据、内部地址、真实生产账号、客户数据或未脱敏截图。
+          required: true

.claude/projects/-Users-h2oslabs-Workspace-hackforger/memory/feedback_e2e_web_mandatory.md

@@ -8,6 +8,7 @@ body:
       value: |
         > 提需求前先想想：是 **现有功能不好用**（→ 用 Bug 模板更合适），还是 **完全新功能**（→ 用这个模板）？
         > 如果是想让 HackForger 多支持一种使用场景，欢迎在下面描述清楚。
+        > 本仓库公开且业务中立；请用脱敏示例，不要提交客户内容、内部拓扑、真实账号或凭据。
 
   - type: textarea
     id: problem
@@ -47,3 +48,11 @@ body:
         - "只是建议 — 觉得这样会更好"
     validations:
       required: true
+
+  - type: checkboxes
+    id: public-boundary
+    attributes:
+      label: 公开信息确认
+      options:
+        - label: 我已确认本需求使用中立示例，不含凭据、内部地址、真实生产账号或客户私有内容。
+          required: true

.claude/settings.json

@@ -4,5 +4,5 @@ contact_links:
     url: https://github.com/HackForger/hackforger/discussions
     about: 不确定是 bug 还是需求？想先聊聊？欢迎到 Discussions。
   - name: 🚨 安全漏洞
-    url: mailto:security@h2os.cloud
-    about: 安全问题请直接邮件联系，不要在公开 issue 里发。
+    url: https://github.com/HackForger/hackforger/security/advisories/new
+    about: 安全问题请使用私密安全公告，不要在公开 issue 里发。

.github/ISSUE_TEMPLATE/1-bug.yml

@@ -176,6 +176,7 @@ docs/tests/e2e/*.pdf
 .claude/projects/
 .claude/worktrees/
 .claude/scheduled_tasks.lock
+/.remember/
 
 # E2E test screenshots (temporary artifacts, hosted on GitHub Releases if needed)
 tests/screenshots/