[CLA] 完成 ICLA v1.0 Gist 与 CLA Assistant 配置

[lin594]

当前执行记录

• PR R2 · DO NOT AUTO-MERGE · docs: establish organization license governance #5 squash merge commit：26f24cb518d6bc03d26b8f27c64e172ff3988d33
• 合并后 ICLA v1.0 SHA-256：445bd124d129f75a377629fecbcd58c14aa25c78acefca7c877d3a9e46547f85
• 公开生产 Gist：https://gist.github.com/lin594/e7aad6aea670fb1075a294f1269e58ae
• Gist revision：b41fb7e4f5a53d57092b133757bdc23c92a417a0
• CLA_SETUP.md 回填 PR：docs(cla): pin ICLA v1.0 production identity #7
• PR docs(cla): pin ICLA v1.0 production identity #7 squash merge commit：79721ddda2233148aa60fc20c11e125464d7a07c
• MANUAL-UI-1：已由 Organization Owner 于 2026-09-15 确认完成
• CLA Assistant GitHub App：installation id 161854925；repository_selection: selected；suspended_at: null；Owner 已确认仅选择 .github
• CLA Canary PR：test(cla): verify CLA Assistant workflow #9；initial head 179d903a5697d2a8f8337b4ce7f8a634b811c963；final head 76ded50aedadc156cc391a5c74077d04bf9fab66
• Test A 未签署结果：CLA Assistant 已评论；真实 status context 为 license/cla，状态 PENDING；PR merge state 为 UNSTABLE
• Test B 最终签署结果：Organization Owner 已回复 MANUAL-UI-2-RESIGNED done；Privacy Policy 生效后更新的 Canary head 76ded50aedadc156cc391a5c74077d04bf9fab66 于 2026-09-15 19:09:51（UTC+8）产生全新的 license/cla: SUCCESS
• PIPIA / activation ledger 运行记录 PR：docs(cla): record .github activation #10；squash merge commit ad377c2f13b85b1063e78ebff192bf557e6cac97
• CLA required check：repository ruleset 23440617（Require CLA on main）已 active；只匹配 refs/heads/main，只要求 license/cla，无 bypass；原 branch protection 未改动
• Canary PR test(cla): verify CLA Assistant workflow #9：验证完成后于 2026-09-15 19:37（UTC+8）关闭，临时远端分支已删除，测试文件未进入 main

启用前硬门槛

• @lin594 完成人工 R2 审查并给出明确合并指令
• PR R2 · DO NOT AUTO-MERGE · docs: establish organization license governance #5 已人工批准并合并
• 合并后的 ICLA.md 仍为 Version 1.0，且 signer-specific effective date 语义未变
• 发布最终版 CLA_PRIVACY.md
• 已将 CLA_PIPIA.md 与实际服务方、metadata、Privacy Policy URL、数据流、Azure/欧洲存储说明和 CSV export 行为逐项复核，并通过 docs(cla): record .github activation #10 回填启用事实
• 记录包含 ICLA v1.0 的 .github commit SHA
• 计算并记录合并后 ICLA.md 的 SHA-256
• 创建公开 Gist，内容与合并后的 ICLA.md 字节完全一致
• 已合并 docs(cla): pin ICLA v1.0 production identity #7，将 Gist URL、真实 revision、commit SHA 和文件哈希正式回填到 CLA_SETUP.md
• 在组织 Settings > Member privileges 中限制只有 Organization Owner 可以安装 GitHub App（MANUAL-UI-1 done，2026-09-15）

首位外部贡献者正式签署后，不再对同一 ICLA v1.0 Gist 做无意义的措辞、格式或 metadata 修改。实质条款变化必须发布新版本，并要求后续贡献显式接受。

MANUAL-UI-1 · GitHub App 安装权限（已完成）

GitHub 当前 REST/GraphQL API 未暴露此开关；当前 gh 身份已确认是 Organization Owner。执行记录：

1. 已打开：https://github.com/organizations/e-dialect/settings/member_privileges
2. 已在 GitHub Apps 中取消勾选 Allow repository admins to install GitHub Apps for their repositories。
3. Organization Owner 已回复 MANUAL-UI-1 done（2026-09-15）。

MANUAL-UI-CLA-1 · 仅为 .github 安装并连接 CLA Assistant（已完成）

• Organization Owner 已完成 GitHub App 安装、GitHub OAuth 和 e-dialect/.github 与生产 Gist 的连接。
• 首次 API 验证发现 repository_selection: all 后已暂停 Canary，并要求修正。
• Organization Owner 已回复 MANUAL-UI-CLA-1 corrected。
• 修正后组织 API 证据（2026-09-15）：installation id 161854925；repository_selection: selected；suspended_at: null；updated_at: 2026-09-15T16:30:15+08:00。
• 当前 gh token 不含 read:user，无法通过 /user/installations/{id}/repositories 独立枚举 selected 列表；没有为此扩大 token scope。最终范围证据为 GitHub API 的 selected 状态与 Organization Owner 明确确认仅选择 .github。
• Agreement/Gist：https://gist.github.com/lin594/e7aad6aea670fb1075a294f1269e58ae
• Privacy Policy URL：https://github.com/e-dialect/.github/blob/main/CLA_PRIVACY.md
• 未启用 organization members exemption，未添加 allowlist，未使用 Import Signature，未连接其他仓库。

Gist 中的 metadata 固定为 required string legalName 与 required boolean crossBorderConsent；未添加 current email 或手填 GitHub username 字段，未修改 Gist。

CLA metadata 与隐私配置

• Gist metadata 只额外收集 legalName 这一项文本个人信息；不要求 current email，也不重复要求 GitHub username
• Canary 首次签署已由 GitHub-authenticated @lin594 身份触发并使同一 head 的 license/cla 变为 SUCCESS
• Gist metadata 已配置独立于 ICLA 接受的 crossBorderConsent required boolean
• 单独确认的中英文含义与 CLA_SETUP.md 示例一致
• CLA Assistant Privacy Policy URL 使用 https://github.com/e-dialect/.github/blob/main/CLA_PRIVACY.md，且已由公开 linked-item API 验证
• 已按 CLA Assistant 当前 custom-fields-schema.json 验证 metadata 的字段名称、类型和 required 状态
• Organization Owner 已完成带 legalName、crossBorderConsent 和项目 Privacy Policy 独立勾选的重新签署；新 Canary head 已由服务端重新验证为 SUCCESS
• Test A 已证明 PR、commit 或模板本身不构成签署：相同贡献者在签署前得到 PENDING
• 已核对 CLA Assistant 当前官方行为：关联 Gist / CLA 变化会要求贡献者在新 PR 上重新签署；未对 production Gist 做测试性修改
• Canary 两个 commit 均无 Co-authored-by:；未来含实质共同作者的贡献继续按下方逐 PR 检查

crossBorderConsent 的 required boolean 含义为：

I separately consent to the cross-border processing of my CLA signature information as described in the e-dialect CLA Privacy Notice.
我已阅读 e-dialect CLA 隐私说明，并单独同意按其中说明将我的 CLA 签署相关个人信息提供至境外服务进行处理。

GitHub、CLA Assistant 或 SAP 仍可能依其自身告知处理账户邮箱；上述最小化仅表示 e-dialect 不额外要求 current email custom field。

.github CLA Canary

Test A · 未签署状态（已完成）

• 测试 PR：test(cla): verify CLA Assistant workflow #9
• 临时分支：test/cla-assistant-canary
• head commit：179d903a5697d2a8f8337b4ce7f8a634b811c963
• CLA Assistant 评论：test(cla): verify CLA Assistant workflow #9 (comment)
• 评论时间：2026-09-15T08:39:41Z
• 实际 status context：license/cla
• 未签署状态：PENDING
• status target：https://cla-assistant.io/e-dialect/.github?pullRequest=9
• GitHub merge state：UNSTABLE
• 结论：App 已接收 .github 的 PR webhook；未签署贡献未通过 CLA status。Test A 期间未执行任何签署动作，PR 内容或模板本身没有被当作签署。

MANUAL-UI-2 · 完成一次真实 ICLA 测试签署（已完成）

2026-09-15 16:58，用户提供截图：GitHub 登录成功，但签署页只显示空白 Version 与空白正文，字段和接受按钮均未加载。这不是用户漏操作。

诊断证据：

• GitHub Gist API：生产 Gist 为 public，仅有固定 revision b41fb7e4f5a53d57092b133757bdc23c92a417a0；ICLA.md 为 11,527 bytes；metadata JSON 完整。
• GitHub Markdown API：metadata 可正常渲染，去除 CLA Assistant 代码所处理的 <p> 与换行后仍是有效 JSON。
• CLA Assistant /api/cla/getLinkedItem 直连返回正确关联：e-dialect/.github → 生产 Gist。
• CLA Assistant /api/cla/get 直连返回 updatedAt: 2026-09-15T05:29:37Z、非空 CLA HTML（11,743 chars）和非空 metadata HTML（555 chars）。
• 经当前代理访问 CLA Assistant 时连续出现 TLS/空响应；同机绕过代理直连约 10 秒成功。
• 上游已有同类未关闭报告：cla-assistant/cla-assistant#1185、#1168、#933，症状均包含空白 Version/正文或极慢 API。

恢复步骤：

1. 让 cla-assistant.io 暂时绕过系统代理/规则走直连，然后重新打开或硬刷新：https://cla-assistant.io/e-dialect/.github?pullRequest=9
2. 等待页面显示 Version 2026-09-15、ICLA 正文和字段。
3. Legal name 填写你的法定姓名。
4. 勾选 crossBorderConsent；如页面显示 CLA Assistant 内置的 project privacy policy consent，也需单独勾选。
5. 显式点击 I agree 接受 ICLA v1.0；不要填写额外 email，不要修改其他设置。
6. 完成后回复：MANUAL-UI-2 done。若直连后仍为空白，回复：MANUAL-UI-2 still blank。

Codex 不得代表 GitHub 用户点击接受法律协议。

首次签署后的机器验证（2026-09-15）：

• Organization Owner 已回复 MANUAL-UI-2 done。
• PR test(cla): verify CLA Assistant workflow #9 的同一 head 179d903a5697d2a8f8337b4ce7f8a634b811c963 上，license/cla 于 2026-09-15T09:50:16Z 变为 SUCCESS，描述为 Contributor License Agreement is signed.。
• CLA Assistant 原评论已更新为 All committers have signed the CLA.；GitHub merge state 由 UNSTABLE 变为 CLEAN。
• CLA Assistant 客户端从 GitHub authenticated user 取得签署身份，服务端以该身份的 login / user id 写入签署记录；本次 Canary 的签署账号为 @lin594。
• 未把法定姓名或其他签署个人信息复制到本公开 Issue。

首次签署后的隐私配置复核曾发现：

• CLA Assistant 公开 /api/cla/getLinkedItem 返回的 .github 关联记录含正确 Gist，但不含 privacyPolicy。
• 对应开源版本的清理中间件只移除 repository token，不会移除 privacyPolicy；数据模型、更新接口和签署页面均使用同名字段。
• 因而当时不能证明首次签署前展示并强制勾选了项目自己的 CLA_PRIVACY.md 链接；首次结果未作为最终 Test B。

该缺口已通过下述 MANUAL-UI-PRIVACY-1 修正；首次测试签名随后由签署人撤销并重新签署。

MANUAL-UI-PRIVACY-1 · 项目隐私政策链接（已完成）

• Organization Owner 已回复 MANUAL-UI-PRIVACY-1 done（2026-09-15）。
• CLA Assistant 公开 /api/cla/getLinkedItem 已返回 privacyPolicy: https://github.com/e-dialect/.github/blob/main/CLA_PRIVACY.md。
• GitHub API 已确认该 URL 对应 main 上的 CLA_PRIVACY.md（blob ce12ce808bd876c756fb3306c34b80bb13b422fc，8,428 bytes）。
• 生产 Gist、ICLA v1.0 文本和 metadata 均未修改。
• 由于首次测试签署发生在上述链接生效前，签署人已撤销该测试签名并完成下述重新签署。

Test B · 生效后重新签署（已完成）

• Organization Owner 已回复 MANUAL-UI-2-RESIGNED done。
• 为避免把旧 status 冒充复测结果，在 Privacy Policy 生效并完成重新签署后，Canary 分支增加了一个不修改文件的空提交以触发新的 synchronize webhook。
• 新 head：76ded50aedadc156cc391a5c74077d04bf9fab66。
• 新 license/cla 状态：SUCCESS；时间 2026-09-15T11:09:51Z；描述 Contributor License Agreement is signed.。
• legalName 为 required string、crossBorderConsent 为 required boolean；项目 Privacy Policy URL 由 CLA Assistant 独立显示和强制接受。未配置项目 current-email 字段，GitHub username 来自 authenticated identity。
• 生产 Gist 未修改：仍只有 b41fb7e4f5a53d57092b133757bdc23c92a417a0 一个 revision；ICLA.md SHA-256 仍为 445bd124d129f75a377629fecbcd58c14aa25c78acefca7c877d3a9e46547f85。
• Canary PR test(cla): verify CLA Assistant workflow #9 已关闭且远端分支已删除；CLA_CANARY.md 未合并进 main。

.github activation record 与 required check（已完成）

• PR docs(cla): record .github activation #10 将 PIPIA 范围从拟上线更新为已启用的 .github 工作流，并写入 activation ledger；未修改 ICLA.md、CCLA.md、Gist 或 metadata。
• PR docs(cla): record .github activation #10 已于 2026-09-15T11:22:17Z squash merge；merge commit ad377c2f13b85b1063e78ebff192bf557e6cac97。
• 变更前备份：原 branch protection 要求 PR、dismiss stale reviews、conversation resolution 且 enforce admins；没有 required status checks；repository rulesets 为空。
• 因 required-status-check 子资源尚未启用，GitHub 拒绝增量 PATCH；没有用整份 protection PUT 覆盖现有配置。
• 已改用独立 repository ruleset 23440617：active，只匹配 refs/heads/main，只要求 license/cla，strict_required_status_checks_policy: false，无 bypass。
• 回读确认 main 的有效 rules 中存在上述 check，原 branch protection 逐项保持不变；仍开放的组织主页 PR docs(profile): present community infrastructure vision #8 已有 license/cla: SUCCESS，未被错误卡住。

.github Canary 完成清单

• root license / license boundary 已审查并合并
• path-level third-party license boundary 已审查并合并
• data / asset boundary 已审查并合并
• 未签署贡献得到 license/cla: PENDING
• 带项目隐私政策及独立境外处理确认的重新签署贡献得到 license/cla: SUCCESS
• activation ledger 已通过 docs(cla): record .github activation #10 合并
• license/cla 已通过独立 active ruleset 加入 main 的 required status checks
• Canary PR 和远端分支已清理，测试文件未进入默认分支

每个仓库的启用清单

对每个仓库分别完成：

• root license / license boundary 已审查并合并
• path-level third-party license boundary 已审查并合并
• data / asset boundary 已审查并合并
• 在测试 PR 上验证已签署贡献通过、未签署贡献被阻断
• 记录 CLA Assistant 发出的真实 check name：license/cla
• 更新 CLA_SETUP.md 的 Covered Repository activation ledger
• 最后才将该真实 check 加入 branch protection / ruleset

Activation ledger 的每行必须记录 Repository、CLA version、明确的 Enabled at 日期时间、正式 ICLA repository commit、真实 Gist revision 和实际 CLA check name，不记录贡献者个人信息。

Cohort 1

• .github
• xiangsheng-box
• wanyu-proofreader
• edialect.top
• hinghwa-chat
• hinghwa-dict-backend
• hinghwa-dict-web
• hinghwa-dict-uni-app

以上仓库必须各自完成边界 PR 后逐一启用，不批量立即开启。

Cohort 2

• hinghwa_semantic_retrieval
• ipa_tts_minimal
• Voice_Whisper
• quick-start

以上仓库必须先完成并合并更严格的路径级许可证审查，再逐一启用。

明确不启用

• fork；
• private / archived legacy repositories；
• code-contributing-practice；
• hinghwa-ime；
• hinghwa-RAG；
• hinghwa-dict-basic-service；
• hinghwa-dict-mp-weixin。

始终使用 selected repositories，不选择 All repositories。

企业贡献者：仅首次实际出现时执行

CCLA 是低频例外流程，不是立即工作。首次出现企业或机构贡献者时：

• Corporate Contributor 与 Project Manager 双方完成 countersigned CCLA
• 企业提供 Authorized Contributors 的准确 GitHub usernames
• 为每个账号配置精确用户 allowListPattern，不使用宽泛 wildcard
• 用测试 PR 验证 CCLA 覆盖账号不会被错误要求签署个人 ICLA
• 维护最小私有记录：Corporate Contributor legal name、CCLA version、GitHub username、effective date、revoked date（如适用）
• 核实未使用 CLA Assistant 的 Import Signature 表示 CCLA 覆盖或制造表面 ICLA 签署记录
• 将 bot allowlist 与企业 CCLA allowlist 分开记录
• 人员退出 Authorized Contributors 后，从未来贡献的 allowlist 移除并记录 revoked date

白名单本身不产生知识产权授权，授权来源始终是双方签署的 CCLA。不得使用 Import Signature 伪造、模拟或代替未签署人员的 ICLA 记录；不得建设公共员工登记系统，也不得在 GitHub 公开员工真实姓名、邮箱或完整签署记录。

[lin594]

Cohort 1 许可证治理批次记录（2026-09-15）

本批次已完成七个仓库的许可证与第三方来源审计，治理分支均已推送，并分别创建待人工审查的 Pull Request。所有 PR 均保持开放、非草稿且 GitHub 判定无合并冲突；已有 CI 的仓库检查均通过。本批次未执行自动合并，也未提前扩大 CLA Assistant 的仓库范围。

仓库	PR	基础分支	线上状态	权利边界
xiangsheng-box	#448	main	OPEN / CLEAN	PARTIAL；正式替代 hinghwa-dict-v2，保留第三方组件与资产边界
wanyu-proofreader	#102	main	OPEN / CLEAN	PARTIAL；fangji-v1.0.0 作为历史权利边界，不作追溯性重许可
edialect.top	#6	main	OPEN / CLEAN	PARTIAL；代码与内容、站点标识及品牌资产分离
hinghwa-chat	#1	main	OPEN / CLEAN	PARTIAL；补齐 document.ai 来源和路径级归属
hinghwa-dict-backend	#406	develop	OPEN / REVIEW_REQUIRED	PARTIAL；保留历史 GPL 授权并恢复 AudioCompare、LAME、BGE 等边界
hinghwa-dict-web	#186	master	OPEN / REVIEW_REQUIRED	UNRESOLVED；iFLYTEK demo 衍生文件须在合并前替换或取得可审计授权
hinghwa-dict-uni-app	#244	master	OPEN / REVIEW_REQUIRED	PARTIAL；恢复 ColorUI、uParse、polyfill、js-base64 等第三方许可

统一校验：

• 七个治理提交均以各仓库实时默认分支为祖先，远端 HEAD 与本地审计提交一致。
• 七个分支均通过 git diff --check；标准根 AGPL 文本 SHA-256 均为 8486a10c4393cee1c25392769ddd3b2d6c242d6ec7928e1414efff7dfb2f07ef。
• 所有 PR 正文均记录基础提交、历史许可证、第三方来源、资产排除、风险与对 .github#5 的依赖。
• license/cla 尚未启用于这些仓库，符合“许可证 PR 人工合并后再逐仓接入 CLA，并分别完成 Canary”的上线顺序。

下一道治理门槛：人工审查并决定合并上述 PR；其中 hinghwa-dict-web#186 的 UNRESOLVED 项必须先处理。合并完成后，再按仓库逐一扩大 CLA Assistant 安装范围、确认 license/cla 成功并设置必要检查。本记录不改变 Issue 正文中的人工步骤勾选状态。

[lin594]

Cohort 1 补充核验（2026-09-15）

在批次级禁止性措辞扫描中，发现 xiangsheng-box/frontend/src/colorui/main.css 仍保留 ColorUI v2.1.6 的旧“仅供学习交流”文件头。现已在 xiangsheng-box#448 补齐 ColorUI 的 MIT 正文、版权与固定上游审计来源，并将该文件头改为准确的 MIT 许可证指引；当前 PR HEAD 为 007945c9d11fc746c8a0eb85f0d007ebe1e74136。

补充提交通过 git diff --check，且七个候选分支对 AGPL-3.0-or-later、“仅供学习交流”、禁止商用和“提交即同意 CLA”等冲突措辞的联合扫描已无命中。PR 正文已同步更新；仍保持开放等待人工审查。

[lin594]

Cohort 1 许可证 PR 收敛与 CLA 扩展前置检查（2026-09-16）

本批次已按既定停止线完成：4 个低风险边界 PR 已 squash merge；3 个问题 PR 已修复并保持开放，等待下一轮 batch review。CLA Assistant 的仓库覆盖范围本轮未变更。

仓库	边界 PR / HEAD	结果	merge SHA	剩余风险	CLA 前置状态
xiangsheng-box	#448 / 007945c	CI 全部通过，已 squash merge	4bfd16c	无本批次阻塞项	边界前置已满足；尚未扩展 App scope
hinghwa-chat	#1 / 8c6bdd9	上游许可证表述修正后已 squash merge；仓库未配置状态检查	3f4d829	无本批次阻塞项	边界前置已满足；尚未扩展 App scope
wanyu-proofreader	#102 / 3c95ac2	分支保护、CODEOWNERS 与全部 CI 复核通过，已 squash merge	6abc44f	替代商业许可权利链仍按文档标记 PARTIAL	边界前置已满足；尚未扩展 App scope
hinghwa-dict-uni-app	#244 / d18305d	补充数据来源说明并通过构建检查，已 squash merge	330aa04	莆仙乡音社授权不被扩大解释为独立数据 AGPL 或替代商业重许可	边界前置已满足；尚未扩展 App scope
edialect.top	#6 / 2f77c6b	来源不明长文已实质性重写，保持开放	—	待 batch review；仓库原有 lockfile 与 manifest 不同步，无法运行 npm ci	未满足（边界 PR 未合并）
hinghwa-dict-backend	#406 / cbb3f5b	vendored LAME 已移除；e2e、Docker 与 lint 全部通过；保持开放	—	待 batch review	未满足（边界 PR 未合并）
hinghwa-dict-web	#186 / 80696e6	demo 派生语音客户端与当前树硬编码凭证已移除；CI、lint、build 通过；保持开放	—	待 batch review；服务商侧撤销历史凭证尚待账户所有者完成	未满足（边界 PR 未合并）

补充安全 PR：hinghwa-dict-backend#407 / 744d690 将生产环境 Django SECRET_KEY 改为 fail-closed，e2e、Docker 与 lint 全部通过，保持开放。该 PR 独立于许可证边界 PR #406。

来源与资产澄清

• hinghwa-dict-uni-app：亲属关系图为项目自行整理；音系/例字资料由莆仙乡音社授权项目使用；行政区名属于公开事实。
• hinghwa-dict-web：亲属关系编排为项目自行整理；维护者确认仓库插画系购买授权。仍在使用的 rewards.svg 按购买条款保留并排除在代码许可证之外；未引用的 timg.gif 作为无用媒体删除。
• edialect.top：原长篇简介没有来源/许可记录，逐句检索发现百科及聚合站点的相同或高度近似表述；当前版本仅保留名称、大致分布和有限高层分类事实，删除人口、历史、评价和细节性长句。

秘密扫描

• 使用经官方 checksum 验证的 gitleaks 8.30.1 与 trufflehog 3.97.4 扫描 7 个仓库的默认分支快照和治理分支；未在本批次新增 diff 中发现秘密。
• wanyu-proofreader 的唯一 gitleaks 命中是罕见 Unicode 测试样例，trufflehog verified=0。
• hinghwa-dict-backend 的现存命中为已过期 API 测试 JWT 与 Postman 临时 ID；全部 JWT 已过期，trufflehog verified=0；本批次 diff 无新增命中。
• hinghwa-dict-web 当前树扫描为 0；Git 历史仍包含曾公开的服务商凭证，因此删除代码不能代替服务商侧撤销。本评论不记录任何凭证值。

停止线

• 未合并 edialect.top#6、hinghwa-dict-backend#406、hinghwa-dict-web#186 或安全 PR #407。
• 未重新测试 .github Canary，未修改生产 Gist，未扩展或启用新的 CLA Assistant 仓库范围。
• 下一步是对三个边界 PR 做一次 batch review；服务商侧凭证撤销完成前，web 风险保持为待办。

[lin594]

Cohort 1 functional-preservation checkpoint

• edialect.top#6: approved and squash-merged as fa6d9467dbd89932045db0705356a4f4c5a615d1; original displayed content was preserved byte-for-byte.
• hinghwa-dict-backend#407: approved security hardening, squash-merged as 1e0826db95a995cd33b683adb4cccf66e2cac39c, and kept separate from licensing.
• hinghwa-dict-web#187: created and assigned to original contributor @123daxian; no credential value is repeated there or here.
• hinghwa-dict-web#186: speech UI, implementation, dependencies, routes, and timg.gif are restored. The only runtime/configuration difference from the PR base is the maintainer-approved replacement of three historical provider-credential constants with inert placeholders; provenance and provider-side rotation remain tracked in #187.
• hinghwa-dict-backend#406: the direct-LAME migration was rejected. InputFile.py, Dockerfile, and requirements now match current develop; real WAV, MP3, and AudioCompare smoke tests pass through the existing pydub/ffmpeg path with the historical vendored LAME binary absent.
• Four already-merged Cohort 1 boundary PRs (xiangsheng-box#448, wanyu-proofreader#102, hinghwa-chat#1, hinghwa-dict-uni-app#244): post-merge review found no user-facing feature loss attributable to the license-boundary changes.

CLA Assistant repository selection, linked repositories, rulesets, and the activation ledger were not changed in this checkpoint. hinghwa-dict-web remains excluded from rollout while Issue #187 is unresolved. PRs #186 and #406 remain open for final human review.

[lin594]

Cohort 1 license-boundary rollout completed

All seven Cohort 1 repository-specific license-boundary PRs have now been reviewed and merged.

Repository	Boundary PR	Merge SHA
xiangsheng-box	#448	4bfd16cc296512803cf826d50273e7b4d4e142c1
wanyu-proofreader	#102	6abc44faa3789f7b6e4728db6a09669547470d54
edialect.top	#6	fa6d9467dbd89932045db0705356a4f4c5a615d1
hinghwa-chat	#1	3f4d82940ff99244fd44268f628e242b83dd18ba
hinghwa-dict-backend	#406	3a42c2656640330b84d8cb3d8666457f7276b4fa
hinghwa-dict-web	#186	8f4a6b67fac6fc171744cdc1c874c689b45b883d
hinghwa-dict-uni-app	#244	330aa04df0b0423fedf513a683854c3415e96080

Known legacy exception:

• hinghwa-dict-web: the two historical iFLYTEK browser-demo-derived files remain UNRESOLVED and outside project-original AGPL / alternative-commercial relicensing claims.
• Provenance and historical credential handling are tracked separately in hinghwa-dict-web#187, which remains open and assigned to the original contributor @123daxian.
• This legacy issue does not block completion of the repository license-boundary rollout.

DEFERRED / ON-DEMAND

• Further CLA expansion is an operational task for repositories that actually continue accepting contributions. It will reuse the frozen ICLA v1.0, Gist revision b41fb7e4f5a53d57092b133757bdc23c92a417a0, and check name license/cla; this closure does not redesign metadata, privacy, or PIPIA.
• hinghwa-dict-web CLA rollout is deferred while #187 remains unresolved and may remain deferred until migration or archival.
• Corporate-contributor CCLA handling begins only when an actual corporate contributor appears.
• Cohort 2 audit and legacy-repository remediation resume only on real development, commercial-delivery, migration, valid-secret, or rights-complaint demand.

No further repository-license audit is required before returning to product development.

Organization governance and Cohort 1 license boundaries are complete. Future CLA expansion and legacy remediation are operational/on-demand tasks.