fix: 排除规则漏了根目录的 EE 许可证引用文件；脚本补 public 方向修正

修一个会误导读者的排除漏洞：
只排除 ee/ 时，LICENSES/LicenseRef-OpenWork-EE.txt 仍会被推进镜像。
它是 REUSE 规范的引用文件，存在的唯一意义是给 ee/ 下的文件做 SPDX 引用
（ee/ 里写着 "SPDX-License-Identifier: LicenseRef-OpenWork-EE"）。
ee/ 一删，它就成了孤儿。许可证文本公開本身不侵权（上游自己就公开），
但一个不含 EE 代码的仓库里躺着 EE 许可证，读者只会以为我们漏排了。

许可证块补 redistributable_after_excludes: true。
依据：根 LICENSE 原文（已读远端全文）——
  "All content that resides under the /ee directory ... OpenWork EE License"
  "Content outside ... is available under the 'MIT' license"
排除 ee/ 后为纯 MIT。

mirror_sync.sh 补 private → public 方向修正，但默认不自动翻：
原先脚本只有「收紧」方向（应为私有就 PATCH private:true），
没有放宽方向——openwork 判定为 public 但仓库停在 private，
重跑多少次都不会翻过来，档案与事实不一致却看不出原因。
现在会报告「应为 public 但当前 private」，要求显式加 --set-public。
公开不可逆，放松方向永远不该自动做。

一句话结论去掉样本计数：
maka「四个里唯一」、QwenPaw/Tutti「七个里…」——每加一批样本就过时一次。
改成不带计数的表述，「已收录样本中」本就是隐含的。

总纲 id=98 已重发。

data/projects/maka.yaml

@@ -207,7 +207,7 @@ chart:
 
 verdict:
 
-  one_liner: 四个里唯一把「执行记录」当地基的项目——治理与可复现性最强，产品成熟度最弱。
+  one_liner: 唯一把「执行记录」当地基的项目——治理与可复现性最强，产品成熟度最弱。
   who_should_use: |-
     对审计、数据主权、可复现评测有硬要求的团队；
     做 agent 横向对比研究的工程团队。

data/projects/openwork.yaml

@@ -32,6 +32,15 @@ business:
     name: "目录切分许可（GitLab 式）：ee/ 之外为 MIT；ee/ 为 OpenWork EE License"
     openness: L3
     redistributable: false
+    # ↓ 排除 mirror.excludes 之后的状态。mirror_sync.sh 判可见性时用的是**这个**，
+    #   不是上面的 redistributable——目录切分许可下两者结论相反。
+    #   依据：根 LICENSE 原文（已人工阅读远端全文）
+    #     "All content that resides under the /ee directory ... is licensed under
+    #      the OpenWork Enterprise Edition (EE) License"
+    #     "Content outside of the above mentioned directories or restrictions
+    #      above is available under the 'MIT' license as defined below."
+    #   排除 ee/ 后 → 纯 MIT → 可公开。
+    redistributable_after_excludes: true
     key_restrictions:
       - ee/ 目录（Den 控制面、MCP 网关、推理）生产使用需有效订阅；5 人以下组织在排除 Enterprise 功能后免费
       - 每个 ee/ 版本公开发布满两年后，自动追加 MIT 授权（Grant of Future License）
@@ -214,12 +223,27 @@ verdict:
     以为拿到的是完整 Cowork 平替的人。
 
 mirror:
-  gitea_repo: "gitinbox/openwork"
-  visibility: public
+  gitea_repo: gitinbox/openwork
+  visibility: private
   upstream: "https://github.com/different-ai/openwork"
-  last_sync: ""
-  mode: pending
-  sync_note: "暂未镜像。仓库 291 MB，按本机到 GitHub 实测 50 KB/s 计算需 1.6 小时以上，且 git clone 无断点续传。许可证为目录切分（ee/ 之外 MIT，ee/ 为 EE License）——若后续镜像，排除 ee/ 后为纯 MIT，可公开；完整镜像则必须私有。"
+  last_sync: 2026-09-01
+  mode: source-only
+  # 目录切分许可：ee/ 之外是 MIT，ee/ 是 EE License。
+  # 本档案的 visibility: public **完全建立在「这个排除真的生效」这个前提上**——
+  # ee/ 一旦进了镜像，公开分发就是越权。
+  # 声明必须写在档案里：mirror_sync.sh 只读档案、不读 registry.yaml。
+  # registry.yaml 里的 mirror_excludes 只是批量抓取的提示，不参与镜像决策。
+  #
+  # 第二个排除项是 2026-09-02 补的：只排除 ee/ 时，根目录的
+  # LICENSES/LicenseRef-OpenWork-EE.txt 仍会被推进去。它是 REUSE 规范的引用文件，
+  # 存在的唯一意义是给 ee/ 下的文件做 SPDX 引用（ee/ 里写着
+  # "SPDX-License-Identifier: LicenseRef-OpenWork-EE"）。ee/ 一删，它就成了孤儿。
+  # 许可证文本本身公开不侵权（上游自己就公开），但留着会让镜像名不副实——
+  # 一个不含 EE 代码的仓库里躺着 EE 许可证，读者会以为漏排了。
+  excludes:
+    - "ee/"
+    - "LICENSES/LicenseRef-OpenWork-EE.txt"
+  sync_note: "已镜像（source-only 快照，2026-09-01）。上游 291 MB，本机到 GitHub 实测 50 KB/s，拉取耗时较长且 git clone 无断点续传。许可证为目录切分（根 LICENSE 原文：/ee 之外为 MIT，/ee 为 OpenWork EE License）——镜像时排除 ee/ 与 LICENSES/LicenseRef-OpenWork-EE.txt，排除后为纯 MIT 故判 public。未排除的完整镜像会被脚本在推送前拒绝（public 目标 + 有 excludes 声明 + full 模式）。"
 article:
   emlog_id: 0  # emlog 文章 ID，发布后回写
   published_at: ""

data/projects/qwenpaw.yaml

@@ -230,7 +230,7 @@ chart:
   chart_note: "与 OpenClaw 同赛道对照看：形态略浅、本地优先更强、安全默认值显著更高"
 verdict:
   one_liner: |-
-    七个样本里安全默认值最完整、巴士系数最健康的个人助理——
+    安全默认值最完整、巴士系数最健康的个人助理——
     但至今没有发过一个正式版，且 `--defaults` 安装路径会默认打开遥测。
   who_should_use: |-
     把数据与隐私放第一位、希望助理完全跑在本地的个人与小团队；
@@ -239,7 +239,7 @@ verdict:
   who_should_not: |-
     需要正式版与稳定升级路径的团队（它全是 beta）；
     指望 2B / 4B 本地模型扛复杂 agent 任务的人；
-    把"五层安全"当成不可绕过硬边界的人（Tool Guard 有 OFF 档）。
+    把「五层安全」当成不可绕过硬边界的人（Tool Guard 有 OFF 档）。
 mirror:
   gitea_repo: gitinbox/qwenpaw
   visibility: public
@@ -247,8 +247,9 @@ mirror:
   last_sync: 2026-09-01
   mode: source-only
   sync_note: |-
-    109 MB，理论可行（约 36 分钟拉完），但超过 Gitea 50 MB 推送上限，
-    需走 mirror_sync.sh 的 source-only 快照降级。尚未执行，待带宽窗口。
+    已于 2026-09-01 完成 source-only 镜像（gitinbox/qwenpaw，public）。
+    109 MB 裸仓超 Gitea 50 MB 推送上限，故剔除图片/音视频/字体等素材后按快照提交：
+    推送 18 MB；完整保真裸仓（281 MB）保留在 .mirrors/qwenpaw.git，增量更新重跑脚本即可。
 article:
   emlog_id: 0  # emlog 文章 ID，发布后回写
   published_at: ""

data/projects/tutti.yaml

@@ -276,7 +276,7 @@ chart:
   chart_note: "引擎中立项给的是协议层统一；若按投入对等度重评，该项应下调至 4 左右"
 verdict:
   one_liner: |-
-    把「多 agent 共享上下文、接力干活」做成了产品，且是七个里发布纪律最好的——
+    把「多 agent 共享上下文、接力干活」做成了产品，且是发布纪律最好的——
     但接入深度严重偏袒 Codex（17 倍差距），而宣传的「多人协作」全在闭源 VM 版。
   who_should_use: |-
     手里已有多个 agent 订阅、想让它们在同一工作区里接力与共享上下文的开发者；
@@ -287,15 +287,17 @@ verdict:
     主要用 Kimi / ComputerUse / BrowserUse 的人（这三个接入最薄、测试为零）；
     Windows 用户且主力引擎不是 Codex 的人（只有 Codex 做了 Windows 适配）。
 mirror:
-  gitea_repo: "gitinbox/tutti"
+  gitea_repo: gitinbox/tutti
   visibility: public
   upstream: "https://github.com/tutti-os/tutti"
-  last_sync: ""
-  mode: "pending"
+  last_sync: 2026-09-01
+  mode: source-only
   sync_note: |-
-    243 MB。本地已有浅克隆（/Users/figmarlite/.../tutti_repo，8291 文件），
-    技术维度分析即基于此，可直接复用做快照，无需重新下载。
-    仍需 unshallow 补全历史后走 source-only 降级（超 Gitea 50 MB 上限）。尚未执行。
+    已于 2026-09-01 完成 source-only 镜像（gitinbox/tutti，public）。
+    243 MB 裸仓超 Gitea 50 MB 推送上限，unshallow 补全历史后按快照提交：
+    推送 14 MB；完整保真裸仓（254 MB）保留在 .mirrors/tutti.git。
+    技术维度分析基于本地浅克隆 /Users/figmarlite/.../tutti_repo（8291 文件），
+    与本镜像是两份独立的检出，改动不同步。
 article:
   emlog_id: 0  # emlog 文章 ID，发布后回写
   published_at: ""

data/registry.yaml

@@ -14,6 +14,10 @@ projects:
     added_at: 2026-09-01
     license_level: L3        # 目录切分许可：ee/ 之外 MIT，ee/ 为 EE License
     mirror_visibility: public   # 人工复核：镜像时排除 ee/ 后为纯 MIT，故可公开
+    # ⚠️ 这个字段**不参与镜像决策**，只是批量抓取时的提示。
+    # mirror_sync.sh 只读 data/projects/openwork.yaml 的 mirror.excludes。
+    # 曾因只写在这里、脚本又不读它，导致 public 可见性建立在一条从未生效的规则上。
+    # 2026-09-01 已修：脚本支持并强制校验档案里的 excludes。
     mirror_excludes: ["ee/"]
   - id: orca
     repo: stablyai/orca