docs: CLAUDE.md MCP权限注记更新——claude_dev已提权仓库owner(2026-08-22用户操作) [nas]

旧注「MCP token 对仓库无 write 权限,dispatch 403,走 curl basic auth」已过时:
排查实证 token scope 本就齐全(write:issue+write:repository),真根因=claude_dev
协作者角色 read(Gitea 对 read 放行评论=有写权限的错觉来源);用户提权 owner 后
MCP issue_write 开/关往返实测通过(#7 开→关还原)。dispatch 预期同治(下次真实
「推vps」自然验证);cancel_run 404=版本无路由与权限无关。口令闸门铁律不变。

.claude/CLAUDE.md

@@ -155,7 +155,7 @@ nas-verify 全绿 = NAS test 已自动部署+验证通过。**VPS 不再自动
 - **前置铁律**：agent dispatch 的前提 = nas-verify 绿 **+ 用户本人 NAS 验收通过** + 报「待推 VPS」清单（commit 号/内容）给用户，**用户在对话中原话说「推vps」**。不得代填/推断/沿用旧授权（2026-08-14 曾两次违规自行 dispatch，用户严肃指正）。
 - **人工**：Gitea → Actions → `vps-deploy.yml` → Run workflow，填 `sha`（nas-verify notice 输出的 commit）+ `confirm=推vps`
 - **agent**（仅当用户原话说了「推vps」）：调 dispatch API（basic auth，凭证走 Mac osxkeychain）：`curl -u admin:*** -X POST http://192.168.2.154:3000/api/v1/repos/sanguo/sanguo_vnpy_v2/actions/workflows/vps-deploy.yml/dispatches -H 'Content-Type: application/json' -d '{"ref":"master","inputs":{"sha":"<full-sha>","confirm":"推vps"}}'`；口令不符 workflow 第一步直接 fail
-  （⚠️ MCP 的 claude_dev token 对仓库无 write 权限，dispatch 会 403；agent 走 Mac git credential / basic auth）
+  （2026-08-22 起 claude_dev 已是仓库 owner：MCP 工具可直接 dispatch/关 issue，curl basic auth 仍为备用通道；cancel_run 在本 Gitea 版本无路由；口令闸门铁律不变）
 vps-deploy checkout 你传的 SHA（= NAS 验证过的 commit）→ `promote --target vps` → verify_unified_e2e。**严格版本一致**。
 
 - **看 CI**：`http://192.168.2.154:3000/sanguo/sanguo_vnpy_v2/actions`，🟢已部署 / 🔴点 run 看 log