Gate L4 đang chặn (coverage / secret / CVE / lint / build / test lỗi) chỉ được bỏ qua khi job override-check xác nhận đủ 3 điều kiện:

Policy bật override (override.enabled: true).
Người kích hoạt lần chạy nằm trong override.authorized_users — danh sách username GitHub trong vfa-policy.yml của dự án (không phân biệt hoa thường, @ tuỳ chọn). Người kích hoạt là github.triggering_actor (push, cập nhật PR, hoặc bấm Re-run). Core default là danh sách rỗng → không ai override được tới khi dự án tự khai.
Lý do ≥ 10 ký tự, lấy từ nội dung (body) của PR.

Danh sách authorized_users được đọc từ vfa-policy.yml trên nhánh base của PR, không lấy từ PR — PR không thể tự thêm tác giả của nó. Thêm / bớt người phải qua một PR riêng được duyệt như đổi policy.

Khi đủ điều kiện: mọi gate vẫn chạy nhưng ở chế độ cảnh báo, và status check security-gates (job phán quyết cuối) luôn xanh — kể cả khi job checks lỗi ở bước không thuộc gate nào (setup, cài scanner…). Nếu có gate thật sự bị bỏ qua: job checks ghi một dòng override-audit.log (ts / actor / reason / repo / pr / layer / danh sách gate bị bỏ qua), upload thành artifact override-audit, telemetry ghi status=warn. Lỗi ngoài gate được job security-gates ghi audit dạng "bypassed": ["checks:failure"]. Lần chạy sạch không ghi audit. Thao tác từng bước: 40-procedures/l4-override.md.
> ⚠️ Gap còn lại (chờ COE / Dev Director): người có quyền push hoặc re-run là override luôn, không cần bước xác nhận riêng cho từng PR (label…); "lý do" là toàn bộ body PR (PR template sẵn có đã đủ 10 ký tự); audit log chỉ là artifact của lần chạy (hết hạn theo retention), không có nơi lưu tập trung; layer vẫn đọc từ vfa-policy.yml của PR — repo tiêu dùng cần CODEOWNERS cho file này, nếu không PR có thể tự hạ layer xuống L3.

Danh sách hiện hành (30-registry/gate-policy.yml):

enabled: true
authorized_users: []
require_reason: true