Add GitHub work2ai delegated workflow memory

shared/long-term/decisions/github-work2ai-delegated-identity.md

@@ -0,0 +1,37 @@
+# GitHub 协作身份与默认代码提交流程
+
+## 结论
+
+- hotwa 本人的 GitHub 用户名是 `hotwa`
+- hotwa 专门为 Claw 配置了一个可接管使用的 GitHub 账号：`work2ai`
+- `mac-5`、`mac-6`、`mac-7` 三台机器都应配置 `GH_TOKEN`，用于让 Claw 代表 `work2ai` 执行 GitHub 相关操作
+- 该 `work2ai` 账号被视为 Claw 的默认 GitHub 执行身份，用于代码仓库层面的 fork / 修改 / 测试 / PR 工作流
+
+## 默认工作流规则
+
+当后续遇到 hotwa 的代码仓库，且需要在 GitHub 上进行安全隔离的开发或提交流程时，默认采用：
+
+1. 使用 `work2ai` 账号对 `hotwa` 的仓库执行 fork
+2. 在 fork 后的仓库中进行修改与测试
+3. 通过 Pull Request 向 hotwa 的上游仓库发起合并请求
+
+该流程应优先于直接在 hotwa 本人仓库上进行高风险改动，除非 hotwa 明确要求直接操作上游仓库。
+
+## 权限与后续规划
+
+- hotwa 已明确表示：`work2ai` 是专门给 Claw 使用的 GitHub 账号
+- hotwa 已明确表示：`GH_TOKEN` 在 `mac-5`、`mac-6`、`mac-7` 均已配置，并赋予了全部权限
+- 若后续需要，hotwa 还会继续提供 `mac-5`、`mac-6`、`mac-7` 到 `work2ai` 账号相关的 SSH 免密配置
+
+## 操作边界
+
+- 对 hotwa 的代码仓库进行实验性改动、验证、分支开发、PR 提交流程时，优先使用 `work2ai`
+- 若涉及直接推送到 hotwa 本人仓库、改写历史、删除仓库/分支、改动敏感权限配置等高风险动作，仍应按当前安全边界谨慎处理，必要时先确认
+- 若运行环境中 GitHub 凭证失效，应先排查 `GH_TOKEN` 或 SSH 凭证注入链路，而不是默认回退到 hotwa 本人身份
+
+## 备注
+
+- 本规则是稳定长期协作约定，不是一次性临时授权
+- 后续提到“我的 GitHub 账号”时，需区分：
+  - hotwa 本人账号：`hotwa`
+  - Claw 默认代行账号：`work2ai`