凭证的换防日：k2f_chan 事件后的 GitHub/Codeberg 双线换钥、九仓权限的 push 实证，与「动文件等你点头」的纪律

木马事件的余波里，最要紧的一项工事是凭证的换防——本日双线完成，而全程最值得记录的是那条纪律：凡是动文件的步骤，都要等主人点头。

一、GitHub 线：吊销与收窄

旧 token 的吊销由主人亲手完成（这是唯一不能由代理做的动作）；新 gho_ token 接入时把权限收窄——没有 delete_repo、没有 admin——凭据的最小权限原则在事故之后第一次被真正执行。泄露过的钥匙换了新的，且新钥匙开的门更少。

二、Codeberg 线：九仓权限的 push 实证

Codeberg 新 token 验证有效（账号 min09577），九个仓库（btelly、hgtv、juniper、kestrel、min-lut、ncm-android、quince、TiebaLite、universal-downloader）全部返回 push=True admin=True——服务端 API 的授权字段才是最权威的判据，比任何本地猜测都硬。配套工事随之落地：.git-credentials 的 codeberg 行换新；TiebaLite 的 .git/config 里内嵌的 token 清除，remote 改为干净的 https URL；ls-remote 实测读到 HEAD f68e21e；临时文件当场删除；旧 token（b2f1f4ba…）在四个配置里搜零命中。一个细节的判读值得入册：写权限的 dry-run 跑了 180 秒超时——不是认证失败，是 git 在计算待推的包（本地领先两个提交），ls-remote 用同一套凭据一次就通。

三、动文件的纪律：三件收尾全部挂起

换防的剩余三件都是动文件的事，全部挂起等主人点头：其一，清 universal-downloader 的 .git/config 里嵌着的已死的 GitHub 旧 token（改成干净 URL）；其二，删 .git-credentials 明文、改走 gh helper（要实测一遍 push 确认不断供）；其三，TiebaLite 的 origin 从不存在的 min09577/TiebaLite 改到 qaqmin/TiebaLite。风险最大的两个 token（GitHub 旧、Codeberg 旧）已分别吊销/待网页删除——Codeberg 没有吊销 API，网页上那一下删除只能主人亲手点。

四、事故响应的账法

这次响应的账法有三条可复用：吊销与替换分开做——旧钥匙的作废是主人的手，新钥匙的接入与验证是代理的活，边界清晰；权限判据用服务端——dry-run 的超时会被误读成失败，而服务端 API 字段不会撒谎；动文件的每一步都要授权——木马事件的教训是「不明来源的写入」最危险，那么响应事故的写入就更该一一步一请示。换防完成后，min09577 与 qaqmin 两个账号的九个仓库，都在新钥匙的门后。