[CLAUDE] Docs: S105 closeout — STATUS/HANDOFF + session log + 4 derived-flush (flip-chain S104-O→S105-F ×3 vị-trí + skills/README Mig62 + trailer→Fable 5)

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

docs/changelog/sessions/2026-07-07-S105-bootstrap-bvaau-auth-favicon.md

@@ -0,0 +1,55 @@
+# S105 — Bootstrap all-green + BVAAU cross-repo assist (favicon + auth-RCA) + closeout eval-all
+
+> **2026-07-07** · em-main-led + 3 spawn (2 monitor + 1 investigator) + 2 monitor closeout · docs/memory-only 0 prod-code SE · runtime **Fable 5** (flip-6, runtime-verified ×3 self-report)
+
+## 1. Session-start (all-green)
+
+- Test **440 PASS** (45D+395I, ~23s) re-verified đầu phiên · 0 code-delta từ S104.
+- Governance-detectors **36 flag 0-CRITICAL/HIGH** — đúng baseline benign S103 (S104 HIGH đã fix; canonical==disk mig 62 + gotcha 79): 15 LOW derived-stale module-local FP + 18 LOW wikilink fork + 3 MED vocab-fork alias-mapped S96.
+- **H2 harvest-curator RE-REPORT:** 5-trục CLEAN + **tự-bắt mồ-côi spawn-record CHÍNH NÓ phiên S104** (verdict nằm session-log S104:19, MEMORY.md kẹt S102 — "self-record blind-spot của gate-agent": `9f9a78e` commit 3 cicd + tooling nhưng không ai append record H2). Em-main verify 2-nguồn → **retro-append 2 entry** (S104-retro + S105-start) theo B3. Orphan-run 0/14 · 0-byte 0/11.
+- **H1 tooling-auditor RE-REPORT:** ①②③ PASS · **#53-garble lần-6** (trả note-dở-dang mid-work thay verdict) → **recover-from-diary** (nó đã self-write entry S105 đầy đủ trước khi return). 2 flag → em-main vá **4 derived-flush** (evidence ×3 self-report → `feedback_derived_flush_execution` không cần gate):
+  1. `.claude/skills/README.md:20` — ef-core row "Mig 61/Updated S98" → **Mig 62/Updated S104** (class "README≠SKILL drift độc-lập" — S104 sửa SKILL.md sót index).
+  2. `.claude/agents/README.md:3` — flip-chain +**S104-Opus → S105-Fable**.
+  3. `.claude/commands/session-start.md:37` — BƯỚC 0.6 flip-chain tương tự.
+  4. `.claude/commands/session-end.md:113` — trailer Co-Authored-By "Opus 4.8" → **Fable 5** (hot-reload CONFIRMED: body /session-end phiên này đã hiện bản vá).
+  - Spot-check tự-compact H1 (L1 19.4→16.3KB, S99/S100→`archive/2026-07.md`): grep marker → **moved-not-cut ✓**.
+- **BƯỚC 0.5/0.5b/0.6:** HMW-mode ON · Fable-clone default (marker vắng) · **Fable VỀ lần 3** — flip-6: S98F→S101O→S102F→S103O→S104O→**S105F**, lead + H1 + H2 self-report `claude-fable-5` ×3 = runtime-verified (bar S98/S102). Restart-CLI carry S103/S104 xác nhận ĐÃ ăn.
+- Budget-audit: sleep 5d<7 skip · 11/11 L1 dưới cap (WATCH: impl-be 93.6% đứng-im · cicd _INDEX ~90%) · RAG 2433 (+2) rerank 0.863 · marks 5 Active-High · reinject-ledger trống · M.B: hotload 304,759B = [76K..102K] tok / cap 380K, backfill 0=OFF.
+
+## 2. BVAAU cross-repo assist (repo `BENHVIEN_A_AU/SOURCE_CODDE` — anh gửi 3 screenshot)
+
+> ⚠️ Session BVAAU KHÁC đang live song song (dirty spec + user-marks + commit `51c69fb` 13:45 giữa lúc điều tra). Kỷ luật cross-repo: **chỉ đụng 1 file disjoint (favicon), điều tra read-only, không đụng file dở của họ.** Anh sau đó nói "Sorry tao nhầm" (khả năng nhầm cửa sổ) → giữ favicon (đúng yêu cầu "icon"), không làm gì thêm.
+
+### 2a. Favicon Home (commit `0cc815b` pushed)
+- Chẩn đoán: `Web.Home/public/favicon.svg` = **placeholder scaffold** (ô teal gradient + dấu cộng y tế) — chính là icon lạ anh khoanh đỏ; svg LOAD bình thường (không phải thiếu file/cache).
+- Thay theo hệ per-app S81 (Admin=amber+gear · CRM=navy+chat): **Home = nền TRẮNG + vũ công navy `#00249b` + pip ngôi-nhà vàng `#f9ca17`** (echo logo-chip trang chủ, brand S110 "navy+gold từ logo.svg chính chủ"); emblem paths reuse nguyên bản proven 16/32px; self-contained ids (G-200).
+- ⚠️ **Prod-verify PENDING lúc đóng session:** curl favicon còn `0f766e` teal cũ (CI run `0cc815b` chưa xong/cần check) → NEXT verify `grep -c '00249b'` = 1.
+
+### 2b. Auth RCA 3-Q (investigator deep-pass, read-only — verdict em-main verify first-hand)
+- **#53-garble lần-7** (trả CÂU MỞ ĐẦU thay verdict, 32 tool-call/152K work THẬT) → **recover-path MỚI: SendMessage-resume chính agentId** (diary trống — khác lần 6 recover-diary) → verdict đầy đủ lần 2. Ghi vào `feedback_agent_return_garble_recover` (×11 tổng; garble ∝ reasoning-lane; thứ tự recover: diary → resume → solo).
+- **Q1 — Home Google "vẫn bị đá ra ngoài": ROOT-CAUSE = FE mù session.** Hub-side OK TOÀN BỘ (state CSPRNG → callback → auto-provision Workspace user → cookie `bvaau.auth` HttpOnly+Secure+Lax+`Domain=.benhvienaau.com` → redirect returnUrl; 7 nghi vấn a-g đều KHÔNG: SameSite same-site, PublicBaseUrl fix 384d033 giữ, CORS+credentials có, returnUrl safe, Google KHÔNG dính pending-lane, IIS rewrite vô can). Điểm gãy: bundle FE cũ `API_BASE='/api'` **relative trên site TĨNH** (web.config loại `^/api/` khỏi SPA-fallback) → `GET /api/auth/me` **404 live-verified** → FE coi anonymous vĩnh viễn → LoginSplit forever (PortalHome tồn tại nhưng unreachable). Đăng nhập server-side nhiều khả năng đã THÀNH CÔNG từ trước.
+- **Fix = commit `51c69fb` 13:45 CỦA CHÍNH SESSION BVAAU** (race đẹp: HEAD dịch giữa lúc điều tra): API_BASE absolute + CRM1 ProtectedRoute redirect-home + authStore loading-fix. Em-main **byte-verify prod (#77): bundle mới Home `index-CtTKjYz2.js` chứa `apihub.benhvienaau.com/api` (1) + CRM1 `index-Cr8wJMpn.js` chứa `home.benhvienaau.com` (1) = FIX LIVE** · config hub `zalo:true` (nút Zalo hết "đang cấu hình").
+- **Q2 — CRM1:** trước đó **hở 2 tầng** (FE soft-gate pass-through + API `enforceCrmGate:false` whitelist anonymous → data thật lộ). FE-redirect live theo 51c69fb. **Kín tầng API = flip secret `AUTH_ENFORCE_CRM_GATE=true` — CHỜ ANH QUYẾT** (đề nghị: bật SAU khi UAT login ổn, tránh CRM đứng nếu login còn trục trặc).
+- **Q3 — "User_ID" Zalo (đính chính của anh: trường anh Mỹ không dùng):** grep 3 FE app + hub = **KHÔNG có trường User_ID nào trong UI** (bảng duyệt crm1 5 cột; modal duyệt = StaffCode+Note). `ProviderUserId` (Zalo app-scoped id) backend-only = **identity-map bắt buộc GIỮ** (`ApprovePendingLogin.cs:114,141` — chìa khóa nhận diện lần login sau + dedup). Kết luận: hệ ĐÃ đúng như anh Mỹ muốn; trường anh Mỹ thấy khả năng ở màn ngoài repo (Zalo console/app cũ) — chờ anh gửi hình nếu cần truy tiếp.
+- **Lesson class mới (ghi investigator diary):** "hub tập-trung + site tĩnh: relative `/api` sống ở dev (Vite proxy), chết im lặng ở prod" → auth-hub call luôn absolute-host. + Bài #77 tái hiện dự án thứ 2: anh test TRƯỚC deploy-land + tab cũ giữ bundle cũ → nhìn như "chưa fix".
+
+### 2c. /fable-real
+Anh gõ `/fable-real invest kỹ...` rồi đính chính nhầm ×2 → **HỦY trước khi tạo marker** — mode giữ Fable-clone default, 0 thay đổi.
+
+## 3. Closeout eval-all (§L)
+
+- **§L.a AS-scan (AS-1..13): 0 hit** (add-specific ✓ · spawn background ✓ · no bypass · no 0-byte · BVAAU favicon commit = src-file CI-run intended, không phải docs-only-trigger).
+- **§L.b(b) guards:** #53-recover guard **HELD 2/2** (lần 6 diary + lần 7 resume — không sửa ledger, guard đã ✅ verified; recurrence-count cập nhật ở user-memory).
+- **(c):** archive-gate DRY: **0 sub over-cap · A7 GATE PASS 226/226 pointer** · sleep-check skip · MFE (eval): LEAD denom **30 item FIT PASS** (span ~3.1-4.2K tok = 1.1% cap worst-case) · age-band 0 · Goodhart anchor strikes=21/RCA=9/AS=13 · SUB coverage đo-thật 85-100% (3 N/A by-design) → **0 floor-rot, 0 refine-action, reinject-ledger giữ trống** · spec-audit: CRITERIA A1-B2 PASS, **GAPS none** · %-print + M.B ở báo cáo cuối.
+- **(d) spawn-records:** tooling-auditor (self-wrote ✓) · harvest-curator (em-main on-behalf ×2 @start) · investigator-codebase BVAAU (em-main on-behalf @end — garble ×2 đường recover khác nhau). H2 closeout GATE verify.
+- **(e):** pending-request anh đều có SPECIFICS trong HANDOFF NEXT-anh (4 mục). **(h):** 0 quyết-định governance mới → n-a, marks 5 Active-High display-only. **(i) spot-check:** woven in-session — 4 claim re-verified tươi bằng ground-truth (H2-mồ-côi 2-nguồn · H1 skills/README stale tự Read · 51c69fb git-show · bundle byte-curl ×2).
+- **Model-note sweep 4-tầng (H20):** README:3 + session-start:37 + session-end:113 + STATUS:24 — cả 4 đã +S104-O/+S105-F trong phiên (2 chỗ đầu vá @bootstrap, session-end@bootstrap, STATUS@closeout).
+
+## 4. State sau S105
+
+**Mig 62 · 89 bảng · 440 test · gotcha 79 · menu 54 · RAG 2433** · bundle SE prod GIỮ admin `ChSNAJBK`/user `Bn2w1znH` (Run #488, 0 deploy SE phiên này) · BVAAU: `51c69fb` live + `0cc815b` pending-CI.
+
+## 5. Carry-forward
+
+- **NEXT anh:** BVAAU incognito-test Home Google login + quyết `AUTH_ENFORCE_CRM_GATE=true` + carry S97 (UAT "8 MEP Sub Hệ thống solar" + số-phiếu/user PE phân quyền) + hình trường User_ID nếu muốn truy tiếp.
+- **NEXT em:** verify favicon BVAAU prod (`curl grep 00249b`) · Supplier Phase B 🅿️ PARKED (KHÔNG tự khởi động) · monthly next 2026-08-01.