Merge remote-tracking branch 'origin/master' into fix/1923-cicd-buildkit-evidence

docs/MDTODO/details/selfmedia-production-delivery/R1.1_Task_Report.md

@@ -89,3 +89,17 @@
 - JD01 未引入 selfmedia key，保持仅使用全局 `github-token`。
 - 旧 revision `49e7425b` 的失败 PreSync Job 早于 bootstrap，后续只允许正常 source PR 生成新 revision，禁止手工控制面操作。
 - R1.1 继续保持 `in_progress`。
+
+## 本轮 unidesk-gh 仓库级 authority
+
+- `config/unidesk-cli.yaml#github.auth.repositoryOverrides` 新增通用 exact repository 列表结构，声明 `repository`、`root`、`sourceRef`、`sourceKey`、`format` 与 `priority`；代码未硬编码 `pikainc/selfmedia`。
+- `pikainc/selfmedia` 精确命中 `pikainc-selfmedia-gh-token.txt`，未命中的 `pikasTech/unidesk`、`pikasTech/HWLAB` 与其他仓库继续使用全局 `gh_token.txt`。
+- gh token resolver 以最终 repo 为输入；issue、PR、repo、auth、preflight 与 merge 路径统一选择，positional `owner/repo#number` 在解析完成后才读取凭据。
+- `before-env` repository override 优先于全局 `GH_TOKEN` 与 `GITHUB_TOKEN`；未命中 override 时保留原全局 YAML、环境变量与 gh fallback 顺序。
+- 输出仅披露 `scope`、`configRef`、`sourceRef`、`sourceKey`、presence、fingerprint 与 `valuesPrinted=false`；不再披露完整 source path，错误保持有界。
+- `bun test scripts/src/gh-token-repository-override.test.ts`：3/3 通过，覆盖 selfmedia 独立 token、unidesk/其他仓库全局 token、before-env 与 positional final-repo 隔离。
+- `bun test scripts/src/gh-token-repository-override.test.ts scripts/src/gh-default-render.test.ts`：10/10 通过；生产文件 `bun --check`、旧签名扫描与 `git diff --check` 通过。
+- Target 原入口 `bun scripts/cli.ts gh auth status --repo pikainc/selfmedia`：`scope=repository-override`、`sourceRef=pikainc-selfmedia-gh-token.txt`、`presence=true`、独立 fingerprint、`valuesPrinted=false`，REST/repo/issue-read 均成功。
+- Target 原入口 `bun scripts/cli.ts gh auth status --repo pikasTech/unidesk`：`scope=global`、`sourceRef=gh_token.txt`、`presence=true`、全局 fingerprint、`valuesPrinted=false`，REST/repo/issue-read 均成功。
+- 两仓 fingerprint 不同，证明选择未串线；本轮未执行任何 GitHub issue/PR 写入、运行面操作、部署或合并。
+- 本轮源码分支为 `feat/selfmedia-gh-token-authority`；R1.1 继续保持 `in_progress`。