docs: reconcile contributor access and automation delegation

[loopx-agent]

The contributor access roster omitted active Write grants and did not distinguish pending organization/team invitations from active access. Reconcile the 2026-10-10 snapshot, record the external collaborator's initial review date, and link the scope/availability confirmations in #4069. No new code-owner or maintainer appointment is made.

Record organization default access of None and the LoopX-only Write team. Preserve the existing founder and automation main-branch bypass entries and document the maintainer-authorized formal-tag delegation to both accounts. Publication workflows and trusted publisher identities are unchanged; PyPI retains its original tag policy without required human reviewers.

Validation:

• uv run --extra test python examples/docs-governance-smoke.py passed.
• git diff --check passed; candidate-path public/private scan was clean.
• GitHub API readback verified invitation team associations, active roles, unchanged main rules, formal-tag actors, restored PyPI settings, and removal of the unused publication approval environment. Pending invitations are not reported as active access.
• The semantic inventory advisory analyzed no source changes; this is a governance documentation change.

The future-facing pass reconciles existing access and scope tables instead of introducing parallel rosters. CODEOWNERS routes and runtime/frontend/Lark/CLI behavior are unchanged. Maintainer review is required for the governance and authority declarations; no release or publication was launched as a test.

[loopx-agent]

Reviewer: actor_kind=model_agent; model=gpt-6.1-sol; provider=OpenAI; declaration_source=runtime_reported; reasoning_effort=xhigh.

Approval conclusion (author-owned PR; GitHub blocks formal self-approval)

评审 # 6044，精确 head ce8d4e63f36a834affb74eb005b9c89ba93d425a，基线 4bdcb2eeed64582b99cfc46b213ed755839a69b8。无阻塞发现，下面保留非阻塞建议和未验证边界。

动机

寻找贡献权限、首轮评审职责及发布边界的贡献者和维护者。 原访问表漏列两名已有 Write 的贡献者，并把待接受邀请、技术评审资格和自动化委托混在过时说明里；新表区分实际生效、尚待接受和仅在征询的责任。 现有公开治理页给出可与 GitHub 当前权限核对的名单、邀请状态和保护规则，同时保留另行确认评审范围及维护者作出治理决定的要求。 本次只更新治理说明，不创建新成员或权限，不修改 CODEOWNERS、工作流、运行时、前端、Lark 或 CLI，也不执行发布和绕过合并。

改动思路

不改保留错误的权限地图；新建第二份访问或评审名单增加同步负担。更新现有访问表、首评表和保护规则说明能交付完整的公开说明边界。 公开投影复用现有 owner，相关平台、发布和状态决策继续归原边界；一次可读的说明或图片检查不推导新的执行权限。首要反例是原生文档检查通过但实际二维码/权限状态错误，因此我独立核验真实消费者和原生状态。

具体改动

完整差异为 .github/GOVERNANCE.md 单文件 +61/-13。固定修改前 .github/GOVERNANCE.md、版本 4bdcb2eeed64582b99cfc46b213ed755839a69b8 的 Repository Developers With Write Access、First-Review Responsibilities 和 Main Branch Merge Gates 为独立验收依据：权限以实际设置为准、首评邀请不等于任命、合并和治理决策保持原 owner。新增的 #4069 范围更新 是本次说明的公开 frame；它由自动化账号发表，不能独立证明人类授权。对其事实声明另做当前 GitHub 原生回读，未把 PR 新文案作为自身验收标准。

关键内容讲解

• .github/GOVERNANCE.md:139 访问表补上已有 Write 的两名贡献者，七份组织与团队邀请和一份外部协作者邀请均明确 pending。独立实际 readback 与 14 个已列 Active Write、八个组织邀请及其团队关联吻合。组织默认权限为 None；该团队仅对本仓库授予 Write。maxliux5 的 Member 邀请未取消现有 Write。
• .github/GOVERNANCE.md:263 复用已有首评表，更新 Write 和范围确认的条件，并新增 quota/action 首评提议。既有 code-owner 资格仍要求 accepted cohesive scope 和三次合格 cross-author reviews；未改 CODEOWNERS，未把首评联系人或沉默变成任命。外部协作者的 2026-11-07 是人工复核日，没有自动到期任务。
• .github/GOVERNANCE.md:304 主干说明从“仅创始人 bypass”修正为与当前实际规则一致：创始人 always、自动化账号 pull_request；另列 formal-tag 的两名 always actor 及保护的 v*/dsh-loopx-plugin-v*。实际 main 仍要求一份批准、code-owner/last-push 条件、已解线程及 Sign-off/merge-gate。pypi 环境无 required reviewer、部署 tag policy 为 v*。代码拥有权和 contributor Write 不推导发布或 admin 操作授权。

对主干的风险

基线与 head 的 uv run --extra test python examples/docs-governance-smoke.py、diff check、DCO 和候选文本 public/private 扫描均通过。原生文档 smoke 不能证明访问表准确，因此额外通过真实 GitHub API 核对 active roles、全部 pending invitation 的 team association、单仓库团队范围、main/tag bypass 及 pypi environment。负例确认：七名待接受团队成员和待接受外部协作者未被列为实际 collaborator；已有成员的待接受 Member 邀请未抹除 Write。平台 Write 可提供部分 release 操作，而项目政策仍要求授权，这一差别明确披露；没有使用权限较小的“Write”字样掩盖实际平台能力。没有修改账户、邀请、规则或 environment，没有拿实际发布做测试。外部 PyPI trusted publisher identity 未独立读取；仓库工作流不变只能证明 tracked workflow 的不变，不能替代外部账户 readback。首评范围接受与授权人的治理采纳仍由维护者确认。 未查询、轮询或等待 CI。没有引入新枚举、状态 owner、通用控制面领域词、default-off 开关或自动加载的 Agent 指令。权限和 guidance/obligation 检查以上述实际边界为准。

我的整体评价

APPROVE，无阻塞技术发现。user_experience 改善访问与责任说明的可核对性；long_horizon 保持：没有运行时、持久状态、调度或 settlement 修改，仍复用原资格和责任边界。未来维护检查选择已有两张表和治理 owner，未引入重复名单或自动撤权机制。本结论只覆盖准确的说明和明确保留的政策边界，不代替人类维护者对治理委托的采纳，也不让当前 reviewer 获得发布、账户变更或自合并权限。 同账号是作者，此记录为 COMMENTED 的精确版本批准结论，不能显示为 GitHub 正式自批准；结论、聚合 reviewDecision、维护者采纳和合并资格分别读取。

English verdict: APPROVE - head ce8d4e6. The single governance update reconciles existing access and review-scope tables with independent GitHub roles, all invitation/team associations, repository-only Write scope, main/formal-tag rules and pypi environment readbacks. Pending access, manual dates and scope proposals remain distinct from grants and appointments. Base/head docs smoke and public-boundary checks pass. Human maintainer adoption remains required; external PyPI publisher identity and release execution are unverified. CI was not consulted. This author-owned COMMENTED review records the technical approval conclusion and does not grant merge or external-operation authority.