feat: upadte

skills/builder/references/contract.md

@@ -52,6 +52,8 @@ make -f makefile.builder <target>
 | `push-docker` | 同时有多种发布轨道的项目 | 仅调 builder 的 `publish_docker.sh` |
 | `push-copy` | 同时有多种发布轨道的项目 | 仅调 builder 的 `copy_artifact.sh`；由它按配置选择内置拷贝或自定义脚本 |
 | `push` | 单一产物类型时必备；多产物项目为聚合 | 依序调用对应 push-* 或直接调脚本；是发布的唯一 make 入口 |
+| `obtain` | 有产物的项目 | 调用 `obtain.sh`，对精确 commit SHA 拿到已存在的产物。`BUILD_VENUE=ci` 时等待该 SHA 的 forge 流水线再 inspect，不在本机 `docker push` |
+| `venue` | 可选（新模板必备） | 打印一行 `BUILD_VENUE`（`local` 或 `ci`） |
 
 规则：
 
@@ -80,6 +82,7 @@ make -f makefile.builder <target>
 
 | 变量 | 默认 | 说明 |
 |------|------|------|
+| `BUILD_VENUE` | `local` | 产物在哪构建：`local` 本机 make；`ci` 由 GitLab/GitHub 流水线构建。这不是新轨道。写在 `makefile.builder` 并提交。`ci` 时 `push-docker` 委托 `obtain.sh`（等流水线 + inspect），不跑 `publish_docker.sh` |
 | `ARCHES` | `amd64` | 本项目要发布的架构清单，空格分隔，子集只能是 `amd64` `arm64`。写在 `makefile.builder` 里并提交；不要放进 `.env.builder`。缺省或无 `arches` 目标时视为单架构 `amd64`。不要默认写成双架构 |
 | `ARCH` | `$(firstword $(ARCHES))` | 这一次构建的架构。必须落在 `ARCHES` 里；非法值必须 `$(error)` 并提示合法值。命令行/环境传入时只构建/上传这一项 |
 | `VERSION` | `` （空） | 为空时按「版本号」节从 Git 祖先稳定 tag 推导；禁止 `sort -V` 取全局最新 |
@@ -186,6 +189,8 @@ include $(HOME)/.pouch/skills/builder/scripts/version.mk
 
 `PLATFORMS` 优先级（高 → 低）：用户这轮 `--platform` 或已 export 的 `PLATFORMS` → 命令行 `ARCH=` 映射的 `linux/$(ARCH)`（由 `push-docker` 传入）→ `.env.builder` 的 `PLATFORMS` → `makefile.builder` 的 `ARCHES` → `linux/amd64`。
 
+`BUILD_VENUE=ci` 时 Docker 发布路径是 `obtain.sh`：只认 **该 commit SHA** 的流水线。没有流水线、job 失败、超时、或 Harbor inspect 不到 `version.sh --docker` 算出的 tag，一律非零退出。不触发流水线。合进默认分支若项目声明不构建，这是正确失败；调用方应打 tag 或推送到项目会构建的 ref（例如 `dev/*`）。CI job 若已经 `docker push`，obtain 成功即视为产物已在 registry，不要再本机 push 一次。
+
 配置来源优先级：shell 已显式设置的值 > 项目根 `.env.builder` > 失败并询问用户。
 `.env.builder` 由 builder 脚本加载（不回显任何值）；当前 shell 已设置的值优先。
 不要读取或改写用户 `.env`。空值视为未配置。不要提交 `.env.builder`。
@@ -201,6 +206,7 @@ push 目标与 `version.sh` 定位 builder 脚本时按以下顺序，命中即
 
 1. `$BUILDER_SKILL_DIR/scripts/`（特殊安装位置）
 2. `$HOME/.pouch/skills/builder/scripts/`（标准 clone 位）
+3. `$HOME/.agents/skills/builder/scripts/`（本机 agent 安装位）
 
 两个位置都不可用时必须失败并提示：设置 `BUILDER_SKILL_DIR`，或把 pouch 仓库
 clone 到 `~/.pouch`。

skills/builder/references/obtain.md

@@ -0,0 +1,54 @@
+# 拿到产物（obtain）
+
+Builder 的交付入口是 **按精确 Git commit 拿到产物**，不是「在哪台机器编译」。
+docker / deb / android / ios / copy 仍是轨道；`BUILD_VENUE` 只说明构建发生在本机还是 CI。
+
+## 谁来调用
+
+- `bugfix-ship` 和 ACK 走到 delivery-loop 的 `artifact_built` 时。
+- 用户说「看构建」「监听 CI」「拿到镜像」时。
+- `make -f makefile.builder obtain` 或 `push-docker`（`BUILD_VENUE=ci`）。
+
+代码必须已经推到远端（`ci` 时流水线由 git ref 触发）。Builder 不代替 releaser 打 tag，也不创建分支。
+
+## 命令
+
+```bash
+<builder>/scripts/obtain.sh --sha <full-sha> [--branch <name>] [--root <project>] [--timeout 1200]
+```
+
+成功打印：
+
+```text
+ARTIFACT=harbor.example.com/ns/name:1.4.2
+DIGEST=sha256:…
+SHA=<full-sha>
+VENUE=ci
+TAG=1.4.2
+```
+
+镜像 tag 对该 SHA 跑 `version.sh --docker`（可 `--branch` 注入 `CI_COMMIT_BRANCH`），禁止 `git describe`。
+
+## 退出码
+
+| 码 | 含义 | 调用方 |
+|---|---|---|
+| 0 | 产物已核验 | `artifact_built` 完成 |
+| 1 | 该 SHA 无流水线、job 失败、超时、inspect 失败 | 标 `failed`，不得 publish/deploy |
+| 2 | 用法或配置错误 | 标 `blocked` |
+| 3 | glab/gh 缺失或读不到该项目 | 停；可用**已打开且已登录**的同 host Orca tab 查流水线。禁止新开未登录页 |
+
+## `ci` 规则
+
+- 只认该 SHA 的 pipeline，不认默认分支「最新一次绿」。
+- 不触发流水线。
+- job 变绿不够，docker 轨道必须 inspect 到 digest。
+- 合进 `main` 若项目不构建，`no_pipeline` 是正确失败。预览走项目会构建的 ref（如 `dev/*`），正式走 tag。
+
+## Agent
+
+1. 固化 source revision 为完整 SHA。
+2. 跑 `obtain.sh --sha <sha>`。
+3. 退出 0：记录 ARTIFACT/DIGEST/SHA。`venue=ci` 且 job 已 push 时，`published` 视为已满足，不要本机再 `publish_docker.sh`。
+4. 退出 1/2：停止 delivery-loop，报告 pipeline URL 或 `no_pipeline`。
+5. 退出 3：先说明 CLI 身份不对；只有已有同 host 登录 tab 时才用来读 pipeline。