chore(工作区): 纳入版本控制基线（回收 411 MB 过程产物）

回收 411 MB（470 M → 58.8 M），全部经回收站，可恢复：
- 待清理/（146.2 M，含 relay 分片 128 M 与 42 项过程目录）
- tmp/（32.4 M，按接续棒命名的过程临时区）
- .workbuddy/tmp/（39.5 M）
- 4 份 workbuddy.db 冗余副本（101 M，09-23 事故的坏副本 / 抢救产物）
- tmp/im16/gw/centrifugo 二进制（63.9 M，可重下）+ 缓存残留

入库范围：常驻规则（CODEBUDDY.md / README.md / state.py）、在途接续入口与
接续包、docs/、交付物/、交接单/、归档/、scripts/、.codebuddy/、
.workbuddy/memory/；共 398 件，其中 >60 KB 的 26 件全为文档。

排除（.gitignore）：tmp/、待清理/、运行态日志与缓存、*.db 与 DB 备份整目录、
打包二进制（*.tar.gz / *.tgz）、记忆修复前备份。

.workbuddy/memory/automations/99936fdd-f597-4669-a823-a052e07abcaf/memory.md

@@ -0,0 +1,33 @@
+# 自动化执行记忆 · 覆盖网络-序46 执行棒 3
+
+> **只放高层摘要**（不放完整交付物 / 正文）。细节见工作区日志 `.workbuddy/memory/2026-09-20.md` 与交接单 §⑪。
+
+| 项 | 值 |
+|---|---|
+| 自动化 id | `99936fdd-f597-4669-a823-a052e07abcaf` |
+| 触发 | 2026-09-20T16:28（= 上一棒收口 + 7 分钟） |
+| 执行时刻 | 2026-09-20 16:28–17:15 |
+| 本轮任务 | 序46 §⑤ **步骤 5（S0 用户态签发端点）** ＋ **遗留 2（relay 密钥表热加载）** |
+| 结论 | **验收通过**（真跑 ＋ 回归全绿） |
+| 全局执行锁 | 已抢（16:28）／已释放（17:12） ✅ |
+
+## 做了什么（高层）
+
+1. 跑 `state.py` 取状态 → 读序46 单 → 抢锁 → 核基线（HEAD `1242d07`）与 §② 只读前置。
+2. **S0 端点**：新建 `POST /api/overlay/device-grant`（用户态 `requireAuth`；网名/hostId 只由会话推导；写 grant ＋ 设备台账 registry ＋ relay HMAC 密钥表）。外置 4 个配置键。
+3. **遗留 2**：`RelayServer` 加 `keysFile` ＋ 按 `mtimeMs:size` 指纹的热加载（失败关闭、⛔ 不放宽任何判据），`/status` 加 `keyReloads`/`keyReloadFails` 判别器。
+4. 新增 `test/overlay-device.test.mjs`（7 例）并挂进 `test`/`verify`；全量回归 **233 项 0 失败**。
+5. 部署到 47（relay ＋ dshs 共 4 个 js，md5 4/4 一致）并**真跑取证**：401 / 200 / admin 不绕过 / 429 配额门 / **热加载不重启即认证**。
+6. 收口：读数落盘 `tmp/seq46/readings-s0/`（17 文件）｜交接单回填 **§⑪**｜文档镜像 md5 一致｜锁释放｜登记执行棒 4。
+
+## 本轮踩到 / 沉淀（下一棒需知）
+
+1. 🔴 **我误删了 ops 三把 relay 密钥**（按归一化名 `ops/w-47` 匹配原始表的**裸 hostId** 键）⇒ 已从自备份恢复、按原始键名重做、并补三条硬断言；现网复验 `refused=0` 无残留。**教训：改共享表文件，判据必须是文件里的原始键，且改完立刻用产品装载器自校验 ＋ 断言关键条目仍在。**
+2. 🔴 **新租户网无人加白名单** ⇒ 新用户"零介入"不成立（与 derive 多网并集同源）—— 已点名给下一棒。
+3. ⚠️ 47 上 **`/opt/dshs/scripts/overlay-relaykey-add.cjs` 不存在**（用法会静默失败）。
+4. ⚠️ scp 路由文件后**必须重启 `dshs`**（否则跑旧模块；现象 = 回执形状不对）。
+5. ⚠️ 复用拨号脚本 `--ticks N>1` 的假退出码（已修并抄回本机）。
+
+## 登记的下一棒
+
+`e728faa5-9edd-48e7-9c38-c2aea0e7aaf5`（`scheduledAt 2026-09-20T17:20` = 本轮收口 + 7 分钟）—— 步骤 6（S3 台账落 PG ＋ 续签语义）＋ §⑪ 遗留 1。登记前已 `list` 确认**无** `scheduledAt` 未过的棒。