规划(08-08-production-deployment-execution): 校准唯一生产环境身份门禁

2026-08-08 17:07:19 +08:00
@@ -9,16 +9,17 @@
 ## Background and Confirmed Facts

 - 生产部署入口是 `deploy/trialrun/deploy-existing.sh`。它读取受控 systemd deployment contract，固定 `SYNC_ENV=0`、`DEPLOY_DATA_MODE=existing`，并在 `deploy.sh` 前调用生产 target/pre-migration gate，部署后再做 post-status gate。
- 生产 target gate 必须确认 HTTPS origin、预期 origin、`NODE_ENV=production`、`COOKIE_SECURE=true`、数据库名与预期一致，并拒绝回环、本地回归库、staging/trialrun 等身份。生产判据不能复用本地任务“必须是回环地址”的规则。
+- 当前没有独立预发环境：历史命名为 `hyb-oa-trialrun` 的既有部署就是承载公网 OA 的唯一运行环境。`trialrun` 是遗留命名，不代表另一套非生产实例；这次 schema 迁移无法先在同构预发环境演练。
+- 生产 target gate 必须确认 HTTPS 公网 origin、`NODE_ENV=production`、`COOKIE_SECURE=true`、数据库身份和既有部署合同。不得再以名称中含 `trialrun` 作为拒绝依据；改为精确匹配已确认的部署身份组，并继续拒绝回环、本地回归库、staging、shadow、测试占位符等真实非生产目标。
 - pre-status 的原始 stdout/stderr 只能留在受控执行现场；任务目录和报告只保存脱敏副本、稳定状态码、迁移 ID、计数和证据引用。
- 候选发布必须是干净、已提交并已进入上游的 commit。当前仓库的远端 `origin/main` 落后于本地发布线，且严格 wrapper 拒绝未发布提交 override；在候选发布前必须解决发布来源问题。
+- 候选发布必须是干净、已提交并已进入上游的 commit。规划阶段曾发现 `origin/main` 落后并已通过受控提交解决；严格 wrapper 仍拒绝未发布提交 override，任何规划修订都必须重新提交、推送并复核 provenance。
 - 当前候选迁移为 `20260807193000_contract_registry_termination_workspace`。部署前须从候选 commit 生成 manifest，并以生产 `_prisma_migrations` 与 `prisma migrate status` 原始输出共同核对 pending、failed、rolled-back、unfinished 和 diverged 状态。
 - `contract_registry.status = 'terminated'` 的第一条已提交记录会关闭回滚窗口。窗口按事件定义，不按发布时间或时间窗口定义；本任务不执行终止写入。
 - 既有生产部署、真实合同写入、企业微信、付款、审批和其他业务数据操作均需受控；本任务明确只授权本节列出的发布迁移和只读验证。

 ## Scope

-1. 在候选发布进入上游且工作区干净后，执行生产 target gate、既有 13 项部署体检、pre-migration status 与 `terminated` 行数查询。
+1. 在候选发布进入上游且工作区干净后，先从已审查的历史 Git 事实和受控远端合同完成只读身份引导，再执行生产 target gate、既有 13 项部署体检、pre-migration status 与 `terminated` 行数查询。
 2. 在所有 pre-gate 通过且变更冻结成立后，使用唯一获批入口执行既有部署；允许的 schema 写入仅为候选 commit 已声明的 Prisma migration。
 3. 部署后执行 post-migration status、`/ready`、候选 build SHA、基础/external/runtime smoke、公开 bundle 扫描和权限负向/详情只读检查，并生成脱敏证据包。
 4. 按失败阶段记录 `PAUSED`、`FAIL` 或 `DEPLOYED_BUT_CONTRACT_REFRESH_FAILED`，完成只读 review、收口和归档。
@@ -28,8 +29,11 @@
 ### R1 发布来源与生产目标

 - 候选 commit 必须干净、已提交、已进入配置的上游远端；严格 wrapper 不接受 `DEPLOY_ALLOW_UNPUBLISHED_COMMIT` 或 `DEPLOY_UNPUBLISHED_REASON`。
- 执行时才提供 `EXPECTED_PRODUCTION_ORIGIN`、`EXPECTED_PRODUCTION_DB_NAME` 和 `EXPECTED_PENDING_MIGRATIONS`；这些值不写入仓库、任务文档或普通日志。
- target gate 必须验证 origin、数据库身份、运行时 `DATABASE_URL` host/database、`NODE_ENV` 和 cookie 安全配置；任何身份不确定均 fail-closed。
+- 公网 origin 从当前 OPS7 运维交接 Runbook 的现行公网检查基准取得；部署 SSH 目标、远端目录和 Compose project 从已审查历史提交 `34181e3` 的既有部署入口恢复，只在执行进程内使用，不复制到任务文档或普通日志。
+- `DEPLOY_REFRESH_SERVER` 通过本机受控 SSH 配置的 exact forced-command `probe` 唯一识别；零个或多个候选均立即停止，不按别名、顺序或连接速度猜测。
+- 生产数据库名只允许在部署目标、远端目录、Compose project、受控 systemd contract 和公网 origin 已精确匹配后，通过一次获批的远端 `.env` 只读读取取得；值仅保留在同一执行进程内并转换为 target gate 所需的比较输入，不回显、不落盘。
+- target gate 必须精确验证 `DEPLOY_SERVER`、`REMOTE_DIR`、`COMPOSE_PROJECT_NAME`、公网 origin 与读取后的 `POSTGRES_DB` 身份组，并继续核对运行时 `DATABASE_URL` host/database、当前数据库、`NODE_ENV` 和 cookie 安全配置；任一身份不确定均 fail-closed。
+- `EXPECTED_PENDING_MIGRATIONS` 可先以空集合运行只读 pre-status 发现实际 pending；只要实际集合非空或不等于批准 allowlist，就必须停止并逐条复核 SQL，不能自动进入部署。

 ### R2 pre-status 与回滚窗口先行

@@ -59,7 +63,7 @@
 ## Acceptance Criteria

 - [ ] AC1：候选 commit 已提交、工作区 clean、已进入上游；来源校验和既有 13 项体检均 PASS。若候选未发布，任务在此处 PAUSED，不使用 override。
- [ ] AC2：target gate 的原始输出在受控现场可供人工阅读，脱敏副本只证明 PASS/FAIL 和原因；HTTPS origin、预期数据库、运行时身份和生产配置全部匹配，未泄露环境值。
+- [ ] AC2：只读身份引导证明历史部署目标、远端目录、Compose project、受控 systemd contract 与公网 origin 属于同一唯一运行环境；数据库名只在该前提下读取到同一进程。target gate 的原始输出在受控现场可供人工阅读，脱敏副本只证明 PASS/FAIL 和原因，未泄露任何身份值。
 - [ ] AC3：任何 schema 写入前完成 pre-status；原始 status 输出与脱敏副本可对账，异常集合为空，pending 与 allowlist 精确一致，`terminated` 行数和 `rollbackWindow=OPEN|CLOSED` 判定已记录。
 - [ ] AC4：仅在 AC1–AC3 全部 PASS 后调用 `deploy-existing.sh`；未执行 reset、db push、resolve、手工 DDL、seed 之外的业务写入或真实 `terminated` 写入。
 - [ ] AC5：部署后 status 显示全部候选迁移 applied/schema up to date，`/ready`、build SHA、smoke、external/runtime smoke、bundle scan 结果与候选 commit 一致。
@@ -72,26 +76,27 @@
 - 不执行真实 `terminated` 写入、合同编辑/归档/恢复、报销/付款/审批/银行/ERP/企业微信写入。
 - 不执行 `prisma migrate dev`、`migrate reset`、`db push`、`migrate resolve`、手工 DDL、删除/修改 `_prisma_migrations` 或自动 drop 新列。
 - 不修改合同业务代码、权限模型、状态机、生产 `.env` 或应用配置；如发现缺陷，登记后另建 task。
- 不以本地、staging、trialrun 或临时 runner 代替预期生产目标；不以删除断言、缺失凭据或历史报告冒充通过。
- 不在本任务内自行 push/发布候选 commit；候选发布需要明确的外部仓库授权（见 Open Questions）。
+- 不以本地、staging、shadow、回归库或临时 runner 代替预期生产目标；不得仅凭环境名称包含或不包含 `trialrun` 判定身份，必须使用精确身份组。
+- 不把从历史 Git 或远端 `.env` 读取到的身份值写回仓库、任务文档、普通日志或对话。

 ## Accepted Risk and Deferred Items

 - 首条已提交 `terminated` 记录出现后，旧应用回退窗口永久关闭；本任务只读取并记录窗口状态，不主动关闭它。
+- 当前没有同构预发环境；13 项体检、target/pre-status、回滚窗口和 `/ready` 是唯一运行环境上的主要安全网。窗口 OPEN 时的兼容回退是本轮唯一一次可用的旧版本回退机会。
 - 生产公网 smoke、企业微信真机、登录态或真实 OCR 可能因专用凭据/样本缺失而 `PAUSED/SKIP`，不等同于部署通过。
 - preflight 与 deploy 之间无法建立配置/数据库变更冻结时，必须在写入前暂停；post-status 不能事后补救错误目标写入风险。
 - 任何非迁移产品失败不得在本任务内顺手修复，应登记为独立后续任务。

 ## Operational Inputs (not committed)

- `EXPECTED_PRODUCTION_ORIGIN`
- `EXPECTED_PRODUCTION_DB_NAME`
+- `EXPECTED_PRODUCTION_ORIGIN`（从现行 OPS7 公网基准在进程内取得）
+- `EXPECTED_PRODUCTION_DB_NAME`（仅在精确身份引导通过后，从远端 `.env` 只读取得并保留在同一进程）
 - `EXPECTED_PENDING_MIGRATIONS`
- 受控 `DEPLOY_SERVER`、`DEPLOY_REFRESH_SERVER`、systemd contract 与 live smoke 凭据（如获批提供）
+- 受控 `DEPLOY_SERVER`（从已审查历史入口恢复）、`DEPLOY_REFRESH_SERVER`（exact probe 唯一识别）、systemd contract 与 live smoke 凭据（如获批提供）

 ## Open Questions

- **阻塞执行决策：是否批准将本次候选发布线（包含已批准部署 tooling 及本执行 task 的规划提交）发布到配置的上游 `origin/main`，以满足严格 provenance gate？** 当前只读证据显示本地 `HEAD` 尚未在远端，且 wrapper 明确拒绝未发布 override。推荐发布精确候选 commit；若不批准，任务只能停在 AC1/`PAUSED`，不能安全进入生产 preflight。
+- 无。唯一公网环境拓扑、精确身份匹配和数据库名只读引导方式均已由用户确认；修订规划仍需复核批准后才实施 tooling 改动或连接生产。

 ## Test Plan

@@ -107,7 +112,8 @@

 ### 生产执行窗口

- 先保存 target gate、13 项体检、candidate provenance、pre-status 原始输出（受控现场）及脱敏副本。
+- 先验证历史身份恢复与 exact refresh probe；只读核对远端 systemd contract 和公网 origin，再在不回显值的同一进程中读取数据库名。
+- 保存 target gate、13 项体检、candidate provenance、pre-status 原始输出（受控现场）及脱敏副本。
 - 核对 migration manifest、`_prisma_migrations`、pending allowlist、异常集合和 `terminated` 行数；任一失败即停止。
 - 仅在前置证据全部 PASS 后运行 `deploy-existing.sh`。
 - 部署后保存 post-status 原始输出及脱敏副本，运行 `/ready`、build/SHA、基础/external/runtime smoke、bundle scan 和权限负向检查。