BUG-0242project-02高已修复deploy-ci

CI 审批门禁旁路：governance-calibrate workflow 里 calibrate --apply 自动直写生产权重

发现：2026-10-01验证：2026-10-09置信度：70%

症状

weights.yaml 变更记录里出现 CI bot 的自动 commit；权重变化没有对应的人工审批记录

根因

CI workflow 中执行 python cli.py calibrate --apply 并自动 commit/push 权重文件——自动化通道完全绕过 §6.5 人工审批门禁，CI 定时任务可以静默修改生产决策权重，无人知情。

修复方案

CI 改用 calibrate --require-review：只产出 .governance/calibration/pending/*.json 待审批项，绝不写生产 weights.yaml、绝不自动提交；人工审批在受控环境执行 cli.py --approve；并加回归防线 tests/test_workflow_gate_compliance.py 禁止任何 workflow 直写 weights.yaml。

错误签名

calibrate --apply workflow 自动 commit push weights.yaml 审批旁路 P0-1

技术信息

来源项目

project-02

涉及文件

.github/workflows/governance-calibrate.yml, scripts/router_engine/cli.py, tests/test_workflow_gate_compliance.py

标签

CI/CD, 审批门禁, 治理, project-02, mcp-reported