fix(chv-muse-r11fix): authd 层 5 去掉 store helper，chv-sync 回落改 fail-closed

round-11 真机测试证实：镜像 /etc/gitconfig 的 [credential]
helper = store 把 authd 释放的长效 token 写进了客内
/home/chv/.git-credentials（0600）。改动：build.sh 不再设
store helper；chv-sync boot 在 authd socket/helper 缺失时直接
die，不再把 token 写进 .git-credentials（旧落盘回落废止）；
authd helper 是唯一凭证 helper，且自身绝不落盘。旧镜像上 boot
现在会直接失败，须用含 authd 的新镜像。测试：无 authd 时 boot
失败且 .git-credentials 不产生、干跑不再含 store helper；P3
差距表 §3.5 更新为已关闭。

chv-guest/chv-sync.sh

@@ -14,11 +14,12 @@
 #     只给客内 authd 守护进程读）。
 # boot（root，cloud-init runcmd 调）读 guest-env，authd 在时配
 # git credential helper 走 authd 按次取凭证（只进 git 子进程
-# 内存，不落盘）；authd 不在时（旧镜像）才回落到把 token 写进
-# /home/chv/.git-credentials（0600，chv 所有，git credential
-# store 标准机制）并警告。pull/push/status 以 chv 身份跑，用
-# helper 或已落盘的 credential，不再读 guest-env；token 不会
-# 出现在 git remote URL 或镜像里。
+# 内存，不落盘）；authd 不在时直接失败（round-11 真机修复层 5：
+# 旧镜像的落盘回落已废止——它在真机测试里把 authd 释放的长效
+# token 写进了客内 ~/.git-credentials；authd helper 是唯一凭证
+# helper，且自身绝不落盘）。pull/push/status 以 chv 身份跑，用
+# helper，不再读 guest-env；token 不会出现在 git remote URL 或
+# 镜像里。
 #
 # 用法：
 #   chv-sync boot              # 启动时 clone（已 clone 则静默退出，不自动 pull）
@@ -65,19 +66,16 @@ cmd_boot() {
     : "${GITEA_USER:?guest-env 缺 GITEA_USER}"
     : "${SYNC_REPO:?guest-env 缺 SYNC_REPO}"
     [ "$(id -u)" = "0" ] || die "boot 须以 root 运行（cloud-init runcmd）"
-    local host="${GITEA_URL#https://}"
-    host="${host#http://}"
-    host="${host%%/*}"
     local name="${SYNC_REPO##*/}"
     local dir="$WORKSPACE/$name"
     mkdir -p "$WORKSPACE"
     chown "$SYNC_USER:$SYNC_USER" "$WORKSPACE"
     # feat-chv-muse-p3：authd 路径——socket 存在时凭证走 helper，
     # 不再把真 token 写进 .git-credentials 落盘；helper 按次向
-    # authd 取凭证，只进 git 子进程内存。socket 不存在（旧镜像）
-    # 时走旧路径 + 警告（过渡兼容，旧镜像退役后改为 fail-closed）。
+    # authd 取凭证，只进 git 子进程内存。socket 不存在时直接失败
+    #（round-11 真机修复层 5：落盘回落已废止，见下）。
     # 注意：authd 路径下 GITEA_TOKEN 不在 guest-env 里（它只进
-    # authd-seed 给守护进程），所以这里不要求它；旧路径才要求。
+    # authd-seed 给守护进程），所以这里不要求它。
     local authd_socket="${CHV_AUTHD_SOCKET:-/run/chv-authd/authd.sock}"
     local helper="/usr/local/bin/git-credential-chv-authd"
     if [ -S "$authd_socket" ] && [ -x "$helper" ]; then
@@ -88,14 +86,13 @@ cmd_boot() {
         runuser -u "$SYNC_USER" -- env HOME="$USER_HOME" git config --global credential.useHttpPath true
         info "凭证走 chv-authd（不落盘）"
     else
-        : "${GITEA_TOKEN:?guest-env 缺 GITEA_TOKEN（旧路径）}"
-        echo "chv-sync: 警告：chv-authd 未运行，凭证走旧落盘路径（须用含 authd 的新镜像）" >&2
-        # token 只落盘进用户家目录的 credential store（0600），
-        # 不进 git remote URL、不进镜像、不进日志（此处不打印 token）。
-        local creds="$USER_HOME/.git-credentials"
-        printf 'https://%s:%s@%s\n' "$GITEA_USER" "$GITEA_TOKEN" "$host" > "$creds"
-        chmod 0600 "$creds"
-        chown "$SYNC_USER:$SYNC_USER" "$creds"
+        # round-11 真机修复（层 5）：authd 不在时直接失败，不再
+        # 把真 token 写进 ~/.git-credentials 落盘——旧路径在
+        # round-11 真机测试里把 authd 释放的长效 token 写进了
+        # 客内磁盘（/home/chv/.git-credentials，0600）。authd
+        # helper 是唯一凭证 helper，且自身绝不落盘；旧镜像退役
+        # 后过渡兼容即废止，不再留落盘逃生口。
+        die "chv-authd 未运行（socket 或 helper 缺失），拒绝同步：凭证绝不落盘，请用含 authd 的镜像"
     fi
     if [ -d "$dir/.git" ]; then
         info "已 clone：$dir（不自动 pull，改动由用户显式同步）"