D3-D4 同步 release candidate 并完成 R4 复检

docs/trialrun/release-readiness-checklist.md

@@ -10,8 +10,8 @@
 - Release candidate：`537e608 A8 完成首轮主线总回归门禁`。
 - 主开发合同：`issues/2026-05-09_20-57-19-mvp-mainline-dev-kickoff.csv`，A1-A8 已全部 `DONE/DONE/DONE`。
 - 剩余主线批次合同：`issues/2026-05-10_10-48-03-mvp-remaining-mainline-closeout.csv`，B1-B5 已全部 `DONE/DONE/DONE`。
-- 当前状态：本地门禁已闭环；R4 只读部署预检已执行但被远端运行时代码版本不一致阻断；尚未部署本轮 release candidate。
-- 当前最大缺口：需先完成远端 release candidate 同步治理；公网真实账号、企业微信真机和真实 OCR 样票条件仍未闭环，继续按 `SKIP` 处理。
+- 当前状态：本地门禁已闭环；R4 部署预检、D3 受控同步和 D4 只读复检已完成；公网已部署本轮 release candidate。
+- 当前最大缺口：公网真实账号、企业微信真机和真实 OCR 样票条件仍未闭环，继续按 `SKIP` 处理，R5 尚未执行。
 
 首轮路线保持不变：OA 是唯一业务主系统和正式审批中心；企业微信只做入口、身份、通知、deeplink 和打卡原始采集边界；不接飞书，不接企业微信原生审批。
 
@@ -75,13 +75,13 @@ node scripts/qa/check-live-smoke-env.mjs
 
 如发现服务端权限缺口，必须停止部署并拆独立修复 Issue；不得用前端隐藏临时绕过。
 
-R3 审计执行记录见 [`permission-direct-access-audit.md`](permission-direct-access-audit.md)。2026-05-10 本地自动化直连审计已通过，未发现权限泄漏；R4 只读部署预检记录见 [`deployment-preflight-2026-05-10.md`](deployment-preflight-2026-05-10.md)，当前因远端运行时代码版本未对齐 release candidate 而阻断。
+R3 审计执行记录见 [`permission-direct-access-audit.md`](permission-direct-access-audit.md)。2026-05-10 本地自动化直连审计已通过，未发现权限泄漏；R4/D3/D4 记录见 [`deployment-preflight-2026-05-10.md`](deployment-preflight-2026-05-10.md)，当前远端运行时代码已对齐 release candidate。
 
 ## 5. 部署预检
 
 部署前只做只读确认，不直接改生产：
 
-2026-05-10 R4 只读预检结论：`BLOCKED`。远端 `/ready`、Prisma migration、备份目录、Caddy 和企业微信 config 基础状态正常，但远端不是 git 工作树，且 `workspaceSettings.js`、`NavLinks.tsx`、`workflow.js` 等关键运行时文件与 `537e608/2bab4e5` 不一致。R5 不得开始，需先执行 `issues/2026-05-10_13-20-38-deployment-version-sync-governance.csv`。
+2026-05-10 R4/D3/D4 结论：`DONE`。已创建部署前 DB/storage 备份，执行 `bash deploy/trialrun/deploy.sh` 同步远端文件树并完成脚本内置 smoke；部署后只读复检显示关键运行时文件哈希对齐、Prisma migration up to date、`/ready` 200、Caddy 正常、企业微信 config 不返回 secret、公网资源文案扫描 0 findings。R5 仍需真实账号、企业微信真机和真实 OCR 样票后单独执行。
 
 - 当前生产 commit、部署目录和本地 release candidate 是否一致。
 - 生产 `.env` 必需项是否完整；检查时不得打印 secret。