chore(工作区): 纳入版本控制基线（回收 411 MB 过程产物）

回收 411 MB（470 M → 58.8 M），全部经回收站，可恢复：
- 待清理/（146.2 M，含 relay 分片 128 M 与 42 项过程目录）
- tmp/（32.4 M，按接续棒命名的过程临时区）
- .workbuddy/tmp/（39.5 M）
- 4 份 workbuddy.db 冗余副本（101 M，09-23 事故的坏副本 / 抢救产物）
- tmp/im16/gw/centrifugo 二进制（63.9 M，可重下）+ 缓存残留

入库范围：常驻规则（CODEBUDDY.md / README.md / state.py）、在途接续入口与
接续包、docs/、交付物/、交接单/、归档/、scripts/、.codebuddy/、
.workbuddy/memory/；共 398 件，其中 >60 KB 的 26 件全为文档。

排除（.gitignore）：tmp/、待清理/、运行态日志与缓存、*.db 与 DB 备份整目录、
打包二进制（*.tar.gz / *.tgz）、记忆修复前备份。

.workbuddy/memory/automations/52645861-6895-459c-a07e-a5d686787d9c/memory.md

@@ -0,0 +1,40 @@
+# 覆盖网络线 · 序 ⑫ 执行棒（automation `52645861`）— 运行记忆
+
+> 用途：下一棒开工前扫一眼，确认本棒没有遗留「未落盘的状态 / 未告知的拍板」。
+> ⛔ 只记高层结论与指针，不复制正文。
+
+---
+
+## 2026-09-17 15:0x–15:2x · 第 1 次运行 —— ✅ 全部完成（收官）
+
+**任务**：序 ⑫「观测口径重构（OBS-11 计数 → 白名单集合）」**执行棒**，按入口 §2 ＋ `交接单_观测口径与在册缺陷_20260917.md` §5-S0–S6 开工。
+
+**结果**：✅ **E1–E9 全绿（9/9）**、收口 5 件全办、零上抛、零 `src/` 改动。
+
+**核心成果（一句话）**：`OBS-11` 由「计数相等」改为**三集包含式白名单集合**（`nft` 同族改「入站 accept 集合 ⊆ 白名单」）⇒ 探针 **10/12 → 11/12**（剩 `OBS-09` = 环境态）；**假红已消 ＋ 假绿已能抓**（`fx-swap` 行数恒 79 ⇒ 旧判据 PASS，新判据同时点名 `多出 127.0.0.1:9999` ＋ `缺失 0.0.0.0:888`）。
+
+**关键指针**：
+- 唯一代码改动 = `D:/github/dsh_shenxian/scripts/overlay-probe.cjs`（md5 `d7e3ed77c1e0ea983b5ee879abde3130`；新增夹具模式 `--listen/nft/status-fixture`）。
+- 参数表 §6 **新增 4 键**（`LISTEN_REQUIRED` / `LISTEN_ALLOWED` / `LISTEN_ALLOWED_RANGES` / `NFT_ALLOW_INBOUND`）＋ `LISTEN_COUNT`/`NFT_RULES` **退役**；**指纹 `99e9e17b…` → `8f08e74b026e6e5b5e1b3db813f031ae`**；本单 §8 前缀 `3ece0f870cba67d0113a4c5f9de9d812` **未变**。
+- 事件 = 单 §8（8.1–8.9 全节回填）；原始取证 = `_中间产物_待清理/seq11/`。
+- 白名单定值要点：`LISTEN_ALLOWED_RANGES` 的 **span = 1000**（实测两机 `dshs-worker` 单元 env；单内示例的 100 是错的）；`LISTEN_REQUIRED` 里 `3080` 绑在 **127.0.0.1**（⛔ 不是 `0.0.0.0`）。
+- **`nft` 结构事实**：47 的 `ip filter INPUT` 链 **0 条规则、policy=accept** ⇒ 入站 accept 集合 = ∅ ⇒ 白名单当前未被现实样本压过（为此补了 nft 夹具自证"多出必红"）。
+
+**新发现（环境级 · 非本单引入 · 已入册 §8.8-1）**：**106 的 sshd 被 MaxStartups 限流** —— 25 min 内 586 条 preauth/kex 错误（外部爆破 `root`/`ubuntu`）、fail2ban inactive ⇒ **针对 106 的脚本化 ssh 偶发 `rc=255`**，曾使 `--scene all` 两次中止（第 3 次 12 PASS / 0 SKIP / 0 FAIL）。⛔ 放宽限流命中 R5 ⇒ 只报告。
+
+**下一棒登记**：automation id **`a513b25c-9399-4fd5-9a00-a19a04c36d74`**「覆盖网络线-序13执行棒-在册小缺陷清算Q1-Q3」（一次性，`scheduledAt` = 2026-09-17 **15:24** = 收口 +3 min，`nextRunAt` = 1789629840000）。已用陈述句告知用户并落盘到入口 §2 与 MEMORY.md 在途单。
+
+**边界遵守**：⛔ 未 commit / 未 push（`git status` = 43、`src/` = 20 **均为既有基线**）｜⛔ 未碰任何生产阈值 / 未重启 `dshs` 或 relay（本单无生产中断）｜⛔ 未把 `COOLDOWN_MS=0` 写入任何路径（收口复核：无 `zz-drill-override.conf`、`DRILL_*` env 命中 **0**）｜未上抛任何范围外事项（§5.9 的 Q1–Q5 原样转下一棒）。
+
+**收口清单核对**：① 释放锁 ✅ ② 陈述句告知 ＋ 登记下一棒 ✅ ③ 入口 §0 ＋ §2 推进到序 ⑬ ✅ ④ 工作区日志 `.workbuddy/memory/2026-09-17.md` ✅ ⑤ 单 §8 回填 ✅ ⑥ 本文件 ✅。
+
+---
+
+## 运行须知（给后续复跑的同类棒）
+
+- 本 automation **是一次性的**，已执行完毕 ⇒ ⛔ 不要重启它；若需再跑，另建新棒。
+- 开工前先跑 `state.py` ＋ 扫最新两条 automation memory（防漏掉别人留下的拍板）。
+- 🔴 **取证落盘一律 `ssh … > f 2>/dev/null`** —— ssh 的 3 行 PQ 告警会让 `wc -l` **假增 3**（本棒首跑踩到 77 → 80，差点误判 P1 不符）。
+- 🔴 **`scripts/overlay-probe.cjs` 是 untracked（`??`）** ⇒ 改它**不会**改变 `git status` 的 43 ⇒ ⛔ 别拿"总数没变"当"没改文件"的证据；判据要落到 `md5sum` 与 Δ 上。
+- 🔴 **零数字纪律对"注释与正则转义"同样生效**：本棒在注释里写了日期 `2026-09-17`、在正则里写了 `\u2013`，两者都含 3+ 位数字 ⇒ `grep -nE "[0-9]{3,}"` 曾 4 命中。要写 en-dash 就写**字面字符**而不是 `\uXXXX`。
+- 夹具模式**必须**配 `--table <副本>`；`OBS-11` 在夹具模式下**仍按真实判据出 PASS/FAIL**（其余 11 项记 `SKIP` 且不参与退出码）—— 否则"先红后绿/假绿实证"表达不出来。