R24-0 R24-3 R24-4: 完成同机部署文档与验收收口

deploy/trialrun/checklist.md

@@ -2,6 +2,18 @@
 
 > 目标：一次发布可追踪、可回归、可回滚（10 分钟内恢复到上个版本）。
 
+## 0. 同机官网部署最小步骤
+- [ ] 已确认官网继续走 `hyinda.com / www.hyinda.com`，OA 使用独立二级域名（建议 `oa.hyinda.com`）
+- [ ] 服务器已执行 `bash deploy/trialrun/setup-server.sh`
+- [ ] 已在服务器创建 OA 目录（默认 `/opt/hyb-oa-trialrun`）
+- [ ] 已准备 `deploy/trialrun/.env`，并将 `APP_ORIGIN` 改为 OA 公网域名
+- [ ] 已将 `COOKIE_SECURE` 设为 `true`
+- [ ] 已将 OA Nginx 配置放到 `/etc/nginx/sites-available/hyb-oa`
+- [ ] 已上传 OA 域名证书到 `/etc/nginx/ssl/<oa-domain>/`
+- [ ] 已执行 `nginx -t && systemctl reload nginx`
+- [ ] 已从本地执行 `bash deploy/trialrun/deploy.sh`
+- [ ] 已通过 `https://<oa-domain>/ready` 或首页登录完成最小探活
+
 ## A. 发布前（Pre-flight）
 - [ ] 确认当前版本已打 tag：`git tag -a trialrun-YYYYMMDD-NN -m "trialrun release"`
 - [ ] 本地门禁：`./scripts/check-minimal.sh`

deploy/trialrun/runbook.md

@@ -2,6 +2,17 @@
 
 > 目标：按本文档在一台新机器完成 **启动 → 迁移 → 初始化管理员 → 验收 → 备份 → 恢复 → 回滚** 演练。
 
+## 0A. 如果官网 `hyb-web` 已在同机运行（推荐方案）
+- 官网继续保持 `hyinda.com / www.hyinda.com` 静态托管，不要改官网目录和配置。
+- OA 新增独立二级域名，例如 `oa.hyinda.com`。
+- OA 推荐部署目录：`/opt/hyb-oa-trialrun`。
+- OA 推荐访问方式：`Nginx(443) -> 127.0.0.1:3000 -> docker compose(server)`。
+- 首次初始化时：
+  1. 服务器以 root 执行 `bash deploy/trialrun/setup-server.sh`
+  2. 手工创建 `deploy/trialrun/.env`
+  3. 手工放置 OA 的 Nginx 站点配置和证书
+  4. 本地执行 `bash deploy/trialrun/deploy.sh`
+
 ## 0. 前置条件
 - Docker + Docker Compose（v2）
 - 机器时间正确（影响 token / cron / OCR）

issues/2026-03-22_12-37-12-r24-same-host-oa-deploy.csv

@@ -0,0 +1,6 @@
+ID,Title,Description,Acceptance,Test_Method,Tools,Dev_Status,Review1_Status,Regression_Status,Files,Dependencies,Notes
+R24-0,同机部署执行合同建档,创建并校验 OA 同机部署执行合同 固定范围为脚本 配置 文档 不改业务功能,Issue CSV 校验通过 且明确本轮只做部署收口与运维脚本,python3 /home/shunli/.codex/skills/plan/scripts/validate_issues_csv.py issues/2026-03-22_12-37-12-r24-same-host-oa-deploy.csv,manual,DONE,DONE,DONE,issues/2026-03-22_12-37-12-r24-same-host-oa-deploy.csv|deploy/trialrun|../hyb-web/deploy,[],复用 hyb-web 部署风格 但 OA 保持独立站点
+R24-1,补齐OA同机部署脚本,新增 deploy 脚本与服务器初始化脚本 支持把 OA 部署到和官网同一台服务器,存在 deploy.sh 与 setup-server.sh 且变量可配置 不硬编码单一环境,手工审阅 + bash -n deploy/trialrun/deploy.sh && bash -n deploy/trialrun/setup-server.sh,manual,DONE,DONE,DONE,deploy/trialrun/deploy.sh|deploy/trialrun/setup-server.sh,["R24-0"],默认目录 /opt/hyb-oa-trialrun 默认兼容 deploy 用户
+R24-2,补齐OA生产Nginx配置,新增适用于 oa 子域名的 Nginx 配置 反代到 127.0.0.1:3000 并与官网站点并存,Nginx 配置包含 server_name 反代头 HTTPS 注释与静态上传边界说明,手工审阅 + nginx -t 模拟检查,manual,DONE,DONE,DONE,deploy/trialrun/nginx-hyb-oa.conf|deploy/trialrun/nginx.conf.example,["R24-1"],不覆盖官网现有站点配置
+R24-3,整理同机部署手工步骤,把 DNS 证书 .env 初始化 首次启动 核对项整理成最小步骤文档,管理员只需按顺序完成少量手工动作即可完成同机部署,手工审阅 + git diff --check,manual,DONE,DONE,DONE,deploy/trialrun/runbook.md|deploy/trialrun/checklist.md|deploy/trialrun/.env.example,"[""R24-1"",""R24-2""]",明确哪些必须手工执行
+R24-4,同机部署验收收口,核对脚本 配置 文档之间一致性 并给出最终命令清单,可直接得到一份同机部署命令清单与核对入口,git diff --check,manual,DONE,DONE,DONE,deploy/trialrun|issues/2026-03-22_12-37-12-r24-same-host-oa-deploy.csv,["R24-3"],已在 118.89.77.218 完成同机部署 证书 Nginx Docker 健康检查与公网访问验证