R66 A1-A6：小团队试点收敛与上线验收

docs/ops/non-functional-baseline.md

@@ -9,6 +9,13 @@
   - `ERP_SYNC_ENABLED` / `INVOICE_VERIFICATION_ENABLED` 通过 Feature Flag 治理，默认保持关闭。
   - `npm audit --omit=dev --audit-level=high` 输出需评审并记录处理策略。
 
+## R66 小团队上线最低要求
+- 公网试点必须使用 HTTPS，并设置 `APP_ORIGIN=https://<oa-domain>` 与 `COOKIE_SECURE=true`。
+- `OPENAPI_DOCS_ENABLED=false`，不要在公网生产暴露接口文档。
+- 管理员账号、smoke 账号和真实员工账号分离；自动化不得使用真实业务账号。
+- 上线前完成 1 次 DB + 文件存储备份恢复演练，并在 `deploy/trialrun/checklist.md` 记录备份文件名与恢复结果。
+- 普通员工默认只看到主路径模块；考勤、采购、差旅、预算、AP、ERP、AI 默认隐藏或放入管理员备用区。
+
 ## 性能基线（Dashboard）
 - 使用 `server/scripts/benchmark-dashboard.sh` 对以下端点做基线采样：
   - `/api/dashboard/expense-overview`

docs/ops/testing-strategy.md

@@ -19,3 +19,20 @@
 ## CI Integration
 流水线集成了 Vitest `npm run test:coverage` 与 node 自定义的 `scripts/coverage_gate.js` 保障上述策略。执行结果会自动附着于 Actions Job Summary。
 机房脚本将自动解析 coverage-summary.json 从而提取对应业务模块的 `lines.pct` 并在 GITHUB_REF_NAME 为依据判定通过。
+
+## R66 小团队试点门禁
+R66 面向 10 人以下团队试点，放行重点是主路径可用、备用模块不干扰、发布可回滚。
+
+建议上线前执行：
+
+```bash
+bash scripts/qa/run-release-gate.sh r66-trialrun
+```
+
+该模式串联：
+
+- `static`：部署契约、`server prisma:validate`、`client typecheck/build`。
+- `server-regression-all`：后端全量业务回归。
+- `smoke-local`：本地网页 smoke，覆盖登录、Portal、导航和企业微信入口基础 UI。
+
+若本机数据库、Playwright 或公网 smoke 账号条件不足，必须在 `deploy/trialrun/checklist.md` 的 R66 小团队试点收敛检查中记录不可执行原因和手工替代步骤。