ci(int9): חיווט שער-INV-INT9 ל-Gitea Actions (legal-ai #618) — חסום עד שיירשם runner

הסקריפט `scripts/int9-guard.mjs` כבר ב-`main` (PR #14) ורץ ידנית דרך
`npm run int9:guard`. הקובץ כאן הוא החיווט שלו ל-CI.

**אל תמזג לפני שיירשם runner ל-plugin-legal-ai.** ה-runner היחיד על nautilus
רשום בהיקף-repo ל-`legal-ai` בלבד (`action_runner.repo_id = 6`), ולכן job של
הריפו הזה לא נאסף לעולם — נמדד: ריצה 3200 / job 3250 ב-`queued` עם
`started_at: 1970-01-01`, בזמן שה-runner היה `busy: false` והריץ 7/7 שערים
של legal-ai. מיזוג עכשיו היה מייצר check תקוע-לנצח על **כל** PR עתידי בריפו.

ה-PR הזה הוא גם המדידה: ביום שיירשם runner הוא יהפוך לירוק מעצמו.

Refs ezer-mishpati/legal-ai#618

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

.gitea/workflows/int9-guard.yaml

@@ -13,6 +13,14 @@ name: INV-INT9 issue.status write-ownership
 # no reason is itself a violation — exceptions must be argued in writing).
 #
 # Pure Node, zero dependencies (scripts/int9-guard.mjs) — no `npm ci` needed.
+#
+# ⚠️ חסום למיזוג. אין היום runner ל-Gitea Actions בהיקף הריפו הזה: ה-runner
+# היחיד על nautilus רשום בהיקף-repo ל-`legal-ai` בלבד (`action_runner.repo_id = 6`),
+# ולכן job שנפתח כאן לא נאסף לעולם — נמדד ב-legal-ai #618: ריצה 3200 / job 3250
+# ישבה ב-`queued` עם `started_at: 1970-01-01` בזמן שה-runner היה `busy: false`.
+# ה-PR הזה נשאר פתוח **בכוונה** ומשמש כמדידה: ביום שיירשם runner לריפו הזה הוא
+# יהפוך לירוק מעצמו, וזו תהיה הראיה ש-AC2 של #618 סופק. עד אז השער רץ ידנית:
+# `npm run int9:guard` · `npm run int9:guard:self-test`.
 
 on:
   pull_request:

package.json

@@ -14,7 +14,9 @@
     "format": "biome format --write src/",
     "format:check": "biome format src/",
     "biome": "biome check src/",
-    "biome:fix": "biome check --write src/"
+    "biome:fix": "biome check --write src/",
+    "int9:guard": "node scripts/int9-guard.mjs",
+    "int9:guard:self-test": "node scripts/int9-guard.mjs --self-test"
   },
   "dependencies": {
     "@paperclipai/plugin-sdk": "^2026.722.0",

scripts/int9-guard.mjs

@@ -39,6 +39,18 @@
  *   node scripts/int9-guard.mjs <path>...        # scan only the given files/directories
  *   node scripts/int9-guard.mjs --self-test      # run the fixture suite (scripts/fixtures/int9/), prove the gate bites
  *
+ * NOT WIRED INTO CI YET: the Gitea Actions runner on this server is
+ * registered at *repository* scope for `legal-ai` only
+ * (`action_runner.repo_id = 6`), so any job queued for `plugin-legal-ai` is
+ * never dispatched — measured on legal-ai issue #618, run 3200 / job 3250
+ * sat in `queued` with `started_at: 1970-01-01`. Until a runner is
+ * registered for this repo, run this by hand:
+ *     npm run int9:guard
+ *     npm run int9:guard:self-test
+ * The workflow file itself (`.gitea/workflows/int9-guard.yaml`) lives in a
+ * separate, deliberately-blocked PR, so merging it does not leave a
+ * permanently-pending check on every future PR in this repo.
+ *
  * Zero dependencies (node:fs / node:path / node:process only) — no `npm ci`
  * needed in CI; the runner image ships node 24.
  */