修正报销部署候选冻结门禁（08-28-reimbursement-detail-material-preview-deploy）

.trellis/tasks/08-28-reimbursement-detail-material-preview-deploy/implement.md

@@ -3,12 +3,14 @@
 ## 1. 依赖与候选
 
 - [x] P0 非参与人只读投影修复已实施、只读复核 PASS 并提交为 `e8d6766`。
-- [x] Task A 与 P0 业务修复提交 `e8d6766` 及元数据回填已冻结为本地部署候选 `8c28e15`；本次候选固化文档提交不纳入部署，上游发布与生产影响仍须在推送批准后复核。
-- [ ] 用户已审查最终候选、回滚和公网验证清单，并另行明确批准推送与部署。
+- [ ] 本次 PRD 修订提交完成后确认工作区干净，以最终 `HEAD` 冻结候选，并在外部审批记录写死 SHA；冻结后不得再提交或修改工作区。
+- [ ] 用户已审查最终候选、回滚和公网验证清单，并单独明确批准推送冻结候选。
+- [ ] 推送后确认 upstream 包含候选，严格 provenance 通过且未使用 unpublished override。
+- [ ] 来源验证通过后，用户另行明确批准连接生产和正式部署。
 
 ## 2. 部署前门禁
 
-- [ ] 工作区干净，候选与 `f178aa0` 均已发布且来源可远端验证。
+- [ ] 工作区干净且 HEAD 等于外部审批记录中的候选；候选与 `f178aa0` 均已发布且来源可远端验证。
 - [ ] 生产 identity、部署合同、DB/附件 existing 路径、运行容器和回滚窗口只读 preflight 全部通过。
 - [ ] 明确期望 pending migrations；本轮若仍无新增 migration，期望值写为空但不跳过 status。