Docs: CHANGES.md with the full account of this fork's improvements

SETUP.md

@@ -77,3 +77,27 @@ Send one message, under 300 words: what will be installed, the accounts and CLIs
 - How to try it: from an account on the allowed list, comment `@<agent login> <request>` on an issue in the repository. A Ticket appears on the overview within about a minute.
 - Three rules for the operator, from the Responsibility section of `docs/000-philosophy.md`: start narrow, tune for less noise, own what the agent says.
 - Where to read more: the numbered documents in `docs/`, in order.
+
+## Gitea Source 配置要点（本 fork）
+
+替代或并存于 GitHub 的自建 Gitea 来源。设计决策见 `GITEA-DESIGN.md`，逐提交说明见 `CHANGES.md`。
+
+- **启用与 sourceId**：bundle 的 `cordis.patch.yml` 里插件 `dsh-superagent-gitea` 默认
+  `disabled: true`，部署 profile 需启用它；设置保存在 `Settings.sources.gitea`（sourceId
+  `gitea`），字段为 `url`、`repository`（owner/name）、`tokenEnv`、`pollSeconds`、
+  `failuresBeforeError` 与三个观察开关。
+- **url 直连实例**，不要套反向代理——部分反代会吞掉 `Authorization` 头，表现为一切 401。
+  地址不带末尾斜杠（`^https?://[^/]+$`）；Gitea 走 http 也可以，凭据行按部署 URL 自身的
+  scheme 写（见 `e8b91ab`）。
+- **tokenEnv 存的是环境变量的名字**（默认 `GITEA_TOKEN`），凭据本体绝不进 Settings。惯常做
+  法：写入 `~/.dsh/.credentials.yaml`，由 DSH 注入 orchestrator 进程环境。同一个 token 两用：
+  既做 API 认证（`token <x>`）也做 git 的 HTTPS 密码（worker 的 `gitea-git-credentials`
+  store）。1.26+ 的实例写路由必须 token；`login:password` Basic 仅作 token 校验损坏时的临时
+  兜底（见 `589b5a6`）。
+- **三条可选仓库流**：`observeIssues` / `observePulls` / `observeComments`，全部默认 false；
+  通知流（`/notifications`）始终在轮询，这三条按团队需要再开。轮询间隔 `pollSeconds` 默认
+  60 s（最小 60，实例给了 `X-Poll-Interval` 更长时以实例为准）。
+- **allowlist**：Policy 的 `allowed` 列 Gitea login（`^[A-Za-z0-9._-]+$`）；`bots` 名单要手工
+  维护——Gitea API 没有 `is_bot`，不在名单里的账号一律按 human 处理。
+- **彩排**：可以用 SQLite 后端的单机 Gitea 实例试跑整套配置，不必先上生产。用 CLI 建管理员
+  账号时带 `--must-change-password=false`，否则首次登录强制改密会让 API 建 token 返回 403。