修复(08-08-production-deployment-execution): 校验候选 Compose 构建标识

.trellis/tasks/08-08-production-deployment-execution/implement.md

@@ -136,3 +136,18 @@
 - 聚焦回归覆盖四种组合：非零/有安全码/marker 缺失，非零/有安全码/marker 存在，非零/无可解析码/marker 缺失，以及退出 0/marker 缺失；`deployment-safety-contract.test.js` 为 19/19 PASS。
 - 本地 Node/shell syntax、env contract、task validate、process contract、docs audit、Trellis governance、sensitive scan 与 `git diff --check` 均通过；docs audit 仅保留仓库既有的未注册文档 warning。
 - 本节修复阶段未连接生产、未运行 target/status、未执行 rsync、migration、应用切换或业务 API；生产 schema 写入与业务写入仍为 0。候选提交进入上游且 provenance 重新通过后，才允许重跑只读 pre-status；取得真实远端错误码后必须立即停止并复核原因。
+
+## Read-only Candidate Compose Attempt Evidence (2026-08-08)
+
+- 错误优先级修复提交 `83af754` 已进入 `origin/main`；执行前 provenance 为 `published=true`、`remoteVerified=true`，工作区 clean。
+- 使用 `PRODUCTION_READ_ONLY_PREFLIGHT=1` 重跑：精确身份组通过，既有部署聚合体检仍为 `PASS=13 FAIL=0`；production preflight 在 Compose 配置校验处以真实稳定码 `PROD_TARGET_COMPOSE_CONFIG_INVALID` 停止，外层 `DEPLOY_EXISTING_FAILED` 只表示受控 wrapper 已停止。
+- 源码核对确认 Compose 文件以 `${BUILD_SHA:?...}` / `${VITE_BUILD_SHA:?...}` 强制要求构建标识；正式 `deploy.sh` 从已验证 provenance 注入完整 commit 与 12 位短 commit，而只读 preflight 未注入两值，因此失败属于 preflight 候选配置输入缺口，不是生产配置漂移。
+- 本次未生成 Prisma status marker 或脱敏 status 文件，未完成 `.env` / `current_database()` / runtime `DATABASE_URL` 三方一致性、pending 对账或 `terminated` count；rollback window 仍为 `UNKNOWN`。
+- 失败后立即停止，未进入 `deploy.sh`、rsync、`migrate deploy`、应用切换、refresh 或业务 API；生产 schema 写入与业务写入均为 0。
+
+## Candidate Compose Contract Repair Evidence (2026-08-08)
+
+- `deploy-existing.sh` 仍是候选来源唯一入口：它先运行 `check-source-provenance.mjs`，只在 `published=true` / `remoteVerified=true` 后把 `source_commit` 传为 `CANDIDATE_COMMIT`。`production-preflight.mjs` 已移除 `git rev-parse HEAD` fallback，候选缺失直接 fail-closed。
+- preflight 仅从该候选派生 `BUILD_SHA=<完整 commit>` 与 `VITE_BUILD_SHA=<前 12 位>`，并传给远端 Compose；不使用 7 位 Git 默认短 hash。远端 helper 在 `docker compose config` 前校验完整/短 SHA 格式以及 `VITE_BUILD_SHA === BUILD_SHA.slice(0, 12)`。
+- 此处 `docker compose config` 验证的是候选发布后将生效的配置，不代表当前运行容器已经使用该 build SHA；运行态仍须由后续只读 runtime/SHA 检查独立证明。禁止用 `--no-interpolate` 绕过 Compose 的必填变量合同。
+- 聚焦测试保持 19/19 PASS，并新增候选完整/12 位注入、7 位短 SHA 拒绝、合法但不匹配 SHA 拒绝、禁止 HEAD fallback 的覆盖；Node/shell syntax 与 env contract PASS。