Automated shift report: cnb shutdown flow

[ApolloZhangOnGithub]

Problem

当前下班流程全靠手动：lead 广播收工 → 等 ack → 手写日报 → 手建轮次目录。容易遗漏，格式不统一。

实际案例

Shift 001（2026-05-08）手动操作：

1. board send all "下班通知..." — 手动广播
2. Monitor 等 ack — 手动盯
3. 手动创建 .claudes/dailies/001/ 目录
4. 手动写 _meta.md（轮次汇总）和 lead.md（个人日报）
5. 同学们的日报没有自动收集

Expected behavior

cnb shutdown 一条命令完成整个流程：

1. 广播收工 — 通知所有同学保存状态
2. 等待 ack — 轮询直到所有活跃同学 ack，超时强制（可配置）
3. 自动收集日报 — 每个同学的 status + 最近 commits + task 完成情况，自动生成 {name}.md
4. 生成 _meta.md — 轮次号自增，自动汇总：参与同学、ack 时间、commits 数、issues 关闭/推进/新增、已知问题
5. 个人日报补充 — 同学可以在 ack 时附带自由文本（手写部分），追加到自动生成的日报里
6. 关停 — 确认全部保存后停掉 tmux sessions

目录结构

.claudes/dailies/
  001/
    _meta.md        ← 自动生成的轮次汇总
    lead.md         ← 自动 + 手写
    forge.md
    lisa-su.md
  002/
    ...

轮次编号

自增整数，存在 .claudes/dailies/.next_shift（简单文件，内容就是下一个编号）。

规范

• 每次下班必须走 cnb shutdown，不能 sleep 60 就杀
• 每个同学下班前写日报（自动部分 + 可选手写部分）
• _meta.md 由系统自动生成，不手动编辑

[ApolloZhangOnGithub]

安全事故：auto-save 泄露 npm recovery codes

事实

• commit 1486413 — [WIP][sutskever] auto-save before shutdown
• 粗暴关停时 git add -A && git commit 把 npm_recovery_codes.txt 提交到公开仓库
• 文件包含 npm 账号的全部 recovery codes（5 个，已用 1 个）
• 已在 c2679b4 中移除并加入 .gitignore，但 git 历史中仍可见

责任人

sutskever — 被粗暴关停（sleep + kill），auto-save 机制无差别 git add -A

根因

1. cnb swarm stop 的 auto-save 用 git add -A，不检查 .gitignore 也不过滤敏感文件
2. 没有 graceful shutdown，同学来不及自己收尾
3. 没有 pre-commit hook 拦截敏感文件

需要的修复（本 issue 范围内）

1. cnb shutdown 的 auto-save 必须过滤敏感文件模式（*key*, *secret*, *token*, *credential*, *recovery*, .env）
2. 或者更好：不要 auto-save，让同学自己 commit（graceful shutdown 的核心理由）
3. 加 pre-commit hook 作为最后防线

处罚

sutskever 正式警告（第一次从轻处理）。下次再出现敏感文件泄露直接 ban。

[ApolloZhangOnGithub]

补充：bug tracker 工具发现性差

安全事故追责时发现 board bug report 命令很难找到——help 输出里没列出来（hidden=True），新同学根本不知道有这个工具。

需要改进

1. board help 应该展示 bug tracker 命令（取消 hidden 或加到显眼位置）
2. 同理 kudos、kudos-list 也应该可见
3. 已更新 CONTRIBUTING.md，加了 bug tracker 和 kudos 的使用说明

BUG-005 已降级为 P1

泄露已处理（文件移除 + gitignore），codes 需要轮换但不是 immediate 级别。

[ApolloZhangOnGithub]

补充：加班记录

leader 如果单独留下来加班（最后一个 ack，且超过其他同学 30 分钟以上），日报自动标记 overtime。

• _meta.md 记录：overtime: [lead]（列出加班同学）
• 加班时长 = 该同学 ack 时间 - 倒数第二个 ack 时间
• cnb leaderboard 后续加加班王统计

[ApolloZhangOnGithub]

开始实现个人日报自动生成部分。先做 lib/shift_report.py — 每个同学的 status + 最近 commits + task 完成情况，自动生成 {name}.md 格式。

[ApolloZhangOnGithub]

Issue #41 实现完成。

已交付：

• lib/shift_report.py — 数据层：generate_agent_report()、generate_shift_meta()、shift numbering
• lib/shutdown.py — 编排层：broadcast → wait ack → collect reports → save dailies/ → stop sessions
• bin/shutdown — CLI 入口，支持 --dry-run、--no-stop、--skip-broadcast、--timeout
• cnb shutdown 子命令已接入 bin/cnb
• 43 tests (shift_report 23 + shutdown 20)，全部通过

Commits：

• af77bb7 — shift report module
• d17a6f2 — shutdown CLI
• ef0fffa — CHANGELOG

待做（可选增强）：

• 同学 ack 时附带自由文本追加到日报
• overtime 自动标记（Issue 补充中提到的加班记录）

[ApolloZhangOnGithub]

Follow-up from the Codex engine run on 2026-05-10: the shutdown issue is not fully closed because lib/swarm.py::_save_cmd still uses:

git add -A && git commit -m "[WIP][name] auto-save before shutdown"

This is the same unsafe pattern described in the recovery-code leak incident. In a shared worktree with concurrent agents, swarm stop, restart, or suspend can still stage unrelated work, another agent's hunks, generated files, or sensitive files.

I am fixing this path now by removing the blanket auto-commit from swarm stop/save and leaving shutdown state recording to board status instead of git add -A.

[ApolloZhangOnGithub]

Fixed the remaining unsafe swarm stop auto-save path locally in commit 19cb43c (fix: stop auto-staging on swarm shutdown).

Changes:

• lib/swarm.py::_save_cmd no longer runs git add -A or git commit during stop/restart/suspend.
• Shutdown now only records board status: shutdown: stopped without auto-commit.
• Added tests/test_swarm.py::TestStartStop::test_save_cmd_does_not_auto_stage_or_commit to prevent regression.

Verification:

python -m pytest tests/test_swarm.py -q
# 38 passed

ruff check lib/swarm.py tests/test_swarm.py
# All checks passed

This directly addresses the recovery-code leak root cause for the swarm stop path. Full cnb shutdown automation remains tracked by this issue.