规划(08-08-production-deployment-execution): 生产部署执行与验收
这个提交包含在：
@@ -0,0 +1,65 @@
|
||||
# 生产部署执行与验收：实施清单
|
||||
|
||||
## 0. 规划与启动门禁
|
||||
|
||||
- [ ] 已向用户呈现本 task 的最终规划摘要，并取得对该摘要的最新明确批准。
|
||||
- [ ] 已解决候选发布是否可进入上游的外部授权；未获授权不得使用 unpublished override。
|
||||
- [ ] 任务从 `planning` 切换到 `in_progress` 前，确认本清单、PRD、design 与 Open Questions 已收敛。
|
||||
|
||||
## 1. 候选与本地证据
|
||||
|
||||
- [ ] 提交本 task 的规划 artifacts，确认工作区 clean。
|
||||
- [ ] 记录候选完整 commit、短 SHA、分支和上游包含关系；不把连接串、SSH target 或环境值写入文档。
|
||||
- [ ] 运行 `node deploy/trialrun/check-source-provenance.mjs`，要求 `published=true`、`remoteVerified=true`。
|
||||
- [ ] 运行既有本地合同门禁：
|
||||
- [ ] `node deploy/trialrun/validate-env-contract.js`
|
||||
- [ ] 相关部署 shell `bash -n`
|
||||
- [ ] `node --check deploy/trialrun/production-preflight.mjs`
|
||||
- [ ] 聚焦 `deployment-safety-contract.test.js`
|
||||
|
||||
## 2. 生产 preflight（全部只读）
|
||||
|
||||
- [ ] 从受控渠道取得 `EXPECTED_PRODUCTION_ORIGIN`、`EXPECTED_PRODUCTION_DB_NAME`、`EXPECTED_PENDING_MIGRATIONS`、`DEPLOY_SERVER`、`DEPLOY_REFRESH_SERVER`；仅存在于进程环境或受控 secret store。
|
||||
- [ ] 先运行 `check-existing-deployment.sh`，记录 13 项真实 PASS/FAIL 数字；任何 FAIL 停止。
|
||||
- [ ] 运行 `deploy-existing.sh` 内置的 source/target/preflight，或按同一 wrapper 的只读阶段执行；人工阅读 target gate 原始输出和 Prisma status marker 原文。
|
||||
- [ ] 核对 candidate migration manifest、`_prisma_migrations` applied/异常/pending 集合和批准 allowlist；未知 pending、failed、rolled-back、unfinished、diverged 或目标身份不确定均 `PAUSED`。
|
||||
- [ ] 同一只读窗口查询 `terminated` 行数，记录 `rollbackWindow=OPEN|CLOSED`、实际 count 和读取时间；确认这是部署前快照。
|
||||
- [ ] 确认 preflight 到 deploy 之间有配置/数据库变更冻结；无法保证则停止。
|
||||
|
||||
## 3. 获批发布（唯一写入阶段）
|
||||
|
||||
- [ ] 再次确认 preflight 所有门禁仍为 PASS，且没有新的远端配置/候选变化。
|
||||
- [ ] 仅调用 `deploy/trialrun/deploy-existing.sh`，固定 `SYNC_ENV=0`、`DEPLOY_DATA_MODE=existing`、`DEPLOY_STATUS_OUTPUT_MODE=quiet`。
|
||||
- [ ] 允许的 schema 写入仅为候选 migration；不得执行 `migrate dev`、`reset`、`db push`、`resolve`、手工 DDL、seed 或业务 API 写入。
|
||||
- [ ] 若 deploy/migrate/init 中途失败，保留远端现场并停止；不自行重试、回滚或清理。
|
||||
|
||||
## 4. 发布后只读验收
|
||||
|
||||
- [ ] 保存 post-status 原始输出（仅受控现场）及脱敏副本；确认全部候选 migration applied / schema up to date。
|
||||
- [ ] 核对 `/ready`、完整 build SHA、公开短 SHA 与候选 commit。
|
||||
- [ ] 运行基础 smoke、external deps smoke、runtime smoke 和公开 bundle 扫描，记录真实数字和输出摘要。
|
||||
- [ ] 在任何真实终止写入前完成未登录、无权限、详情不存在/无权等权限负向路径及合同详情只读检查；缺凭据项标 `PAUSED/SKIP`。
|
||||
- [ ] 检查备份合同 refresh；失败记 `DEPLOYED_BUT_CONTRACT_REFRESH_FAILED`，不重复发布应用。
|
||||
|
||||
## 5. 失败分流、review 与收口
|
||||
|
||||
- [ ] 将每个失败归入 target/migration、应用健康、refresh、public/live/permission 之一；不得把迁移失败与产品回归混为一类。
|
||||
- [ ] 记录真实业务写入计数为 0（本 task 不主动写入 `terminated` 或其他业务数据）。
|
||||
- [ ] 对照部署前窗口快照决定兼容回退或 roll-forward；`CLOSED` 时不得回退到不识别 `terminated` 的旧应用，不 drop 三列。
|
||||
- [ ] 启动只读 reviewer，确认门禁顺序、原始证据可追溯、脱敏副本无敏感信息、失败后没有继续推进。
|
||||
- [ ] 运行最终 Trellis/process/docs/governance/sensitive/diff 门禁；通过后提交中文 commit 并引用 `08-08-production-deployment-execution`。
|
||||
- [ ] 只有生产、公网和必要真机全部获批并通过时才可告知用户可以测试；否则保留 `PAUSED`。
|
||||
- [ ] 归档 task 并记录会话日志，报告中保留 pre/post status、target gate、窗口判定和所有 `PAUSED/SKIP` 原因。
|
||||
|
||||
## Rollback Points
|
||||
|
||||
1. 来源或 preflight 失败：尚未写入，停止并修正授权/输入后重新检查。
|
||||
2. `migrate deploy`/init 失败：保留现场，禁止 reset/resolve/drop，等待明确处置。
|
||||
3. `/ready`/smoke 失败：窗口 OPEN 可按既有合同回退兼容应用；窗口 CLOSED 只 roll-forward。
|
||||
4. refresh 失败：应用已部署但合同刷新失败，不重复发布应用，只走合同修复流程。
|
||||
|
||||
## Evidence Notes
|
||||
|
||||
- 原始 target gate 和 Prisma status stdout/stderr 不进 Git；只在受控执行现场留存。
|
||||
- 任务 artifacts 只保存脱敏副本、commit、状态码、migration ID、计数、窗口状态和证据引用。
|
||||
- 不保存生产 origin、数据库名、SSH target、用户名、绝对远端路径、连接串、凭据、业务正文或原始 payload。
|
||||
在新工单中引用
屏蔽一个用户