修复(08-08-production-deployment-execution): 明确终止迁移回滚窗口依据

.trellis/tasks/08-08-production-deployment-execution/design.md

@@ -59,7 +59,7 @@
 3. 检查唯一 server/db 容器、运行时 `DATABASE_URL` host/database、当前数据库名、`NODE_ENV=production` 和 `COOKIE_SECURE=true`。
 4. 执行 `npx prisma migrate status`，在 marker 内输出原始结果。
 5. 只读查询 `_prisma_migrations`，计算 applied、异常和 pending 集合，与候选 manifest 和批准 allowlist 精确对账。
-6. 查询 `contract_registry` 的 `terminated` 行数并输出 `rollbackWindow=OPEN|CLOSED`。
+6. 先以 `_prisma_migrations` 判断 termination migration 是否已应用：未应用时不查询尚未启用的终止状态，显式输出 `rollbackWindow=OPEN ... basis=migration_not_applied`；已应用时必须真实查询 `contract_registry.status = 'terminated'` 并输出 `basis=terminated_status_count`，查询错误一律 fail-closed。
 
 status 原文仅存在受控 SSH/执行现场；本地 helper 写入 `prisma-migrate-status.txt` 时去除 datasource、连接串和预期身份值，并将稳定摘要写入 `preflight-output.txt`。报告目录复用时只删除两个已知文件，防止旧 PASS 污染新证据。
 
@@ -84,10 +84,12 @@ bash deploy/trialrun/deploy-existing.sh
 
 ## 6. 回滚窗口
 
-部署前查询 `SELECT count(*) FROM contract_registry WHERE status = 'terminated'`：
+部署前窗口按 termination migration 的 applied 状态分流：
 
-- `0` → `rollbackWindow=OPEN`；应用健康失败可按既有发布合同回退兼容版本，但不得 drop 三列。
-- `>0` → `rollbackWindow=CLOSED`；旧应用不识别 `terminated`，只能 roll-forward 或兼容 hotfix。
+- migration 未应用 → 终止能力尚未生效，不执行状态查询，记录 `rollbackWindow=OPEN`、`terminatedRows=0`、`basis=migration_not_applied`。
+- migration 已应用且 `SELECT count(*) FROM contract_registry WHERE status = 'terminated'` 返回 `0` → 记录 `OPEN` 与 `basis=terminated_status_count`；应用健康失败可按既有发布合同回退兼容版本，但不得 drop 三列。
+- migration 已应用且返回 `>0` → 记录 `CLOSED` 与 `basis=terminated_status_count`；旧应用不识别 `terminated`，只能 roll-forward 或兼容 hotfix。
+- migration 已应用但查询失败或返回不可解析值 → 停止，不得用异常兜底为 `OPEN`。
 
 窗口在第一条已提交记录产生的事件时刻关闭，不按时间计算。当前 task 不写入该记录，因此不主动改变窗口状态。任何 rollback 决策必须引用部署前实际读数，而不是部署后补查。
 

.trellis/tasks/08-08-production-deployment-execution/implement.md

@@ -151,3 +151,17 @@
 - preflight 仅从该候选派生 `BUILD_SHA=<完整 commit>` 与 `VITE_BUILD_SHA=<前 12 位>`，并传给远端 Compose；不使用 7 位 Git 默认短 hash。远端 helper 在 `docker compose config` 前校验完整/短 SHA 格式以及 `VITE_BUILD_SHA === BUILD_SHA.slice(0, 12)`。
 - 此处 `docker compose config` 验证的是候选发布后将生效的配置，不代表当前运行容器已经使用该 build SHA；运行态仍须由后续只读 runtime/SHA 检查独立证明。禁止用 `--no-interpolate` 绕过 Compose 的必填变量合同。
 - 聚焦测试保持 19/19 PASS，并新增候选完整/12 位注入、7 位短 SHA 拒绝、合法但不匹配 SHA 拒绝、禁止 HEAD fallback 的覆盖；Node/shell syntax 与 env contract PASS。
+
+## Empty-Allowlist Migration Discovery Evidence (2026-08-08)
+
+- 候选配置修复提交 `8b2ed5b` 已进入 `origin/main`；执行前 provenance 为 `published=true`、`remoteVerified=true`，工作区 clean。
+- 使用空 `EXPECTED_PENDING_MIGRATIONS` 重跑只读 pre-status：精确身份组、13 项聚合体检和 `.env` / `current_database()` / runtime `DATABASE_URL` 三方数据库身份均 PASS；脱敏 Prisma status 显示运行镜像包含 64 条 migration 且对自身为 `Database schema is up to date!`。
+- 候选 manifest 包含 65 条 migration；独立候选清单与生产 `_prisma_migrations` 差集发现唯一 pending 为 `20260807193000_contract_registry_termination_workspace`，因此稳定停止码为 `PROD_MIGRATION_PENDING_ALLOWLIST_MISMATCH`。这证明运行镜像 status 不能替代候选差集门禁。
+- 该 migration SQL 已复核为三个可空列、一个索引和一个 `ON DELETE RESTRICT` 外键，无 drop/truncate/delete 或数据改写；用户已明确批准把它加入下一次只读 pre-status 的 allowlist。
+- 空 allowlist 停止发生在窗口查询前，故 `terminated` count 未读取、rollback window 仍为 `UNKNOWN`；未进入 `deploy.sh`、rsync、migration、应用切换、refresh 或业务 API，生产 schema 写入与业务写入均为 0。
+
+## Explicit Rollback-window Basis Repair Evidence (2026-08-08)
+
+- termination migration 尚未应用时，终止能力不可能由本轮应用生效；helper 现以 `_prisma_migrations` applied set 走显式分支，不发送 `contract_registry` 状态查询，固定输出 `rollbackWindow=OPEN terminatedRows=0 basis=migration_not_applied`。
+- migration 已应用时继续执行真实 `status = 'terminated'` 计数，输出 `basis=terminated_status_count`；查询失败或结果不可解析分别返回固定错误，不使用 catch/default 把未知状态误报为 OPEN。
+- 聚焦 fixture 覆盖：未应用且状态查询被设置为必失败仍应 OPEN（证明未查询）、已应用 0 行 OPEN、已应用 2 行 CLOSED，以及已应用查询失败必须 `PROD_TERMINATED_COUNT_UNAVAILABLE`。聚焦测试 19/19 PASS。