修正(08-08-production-deployment-execution): 先验生产公网身份再冻结目录

.trellis/tasks/08-08-production-deployment-execution/implement.md

@@ -21,12 +21,13 @@
 ## 1.1 拓扑校准与 tooling 修订（生产前）
 
 - [ ] **刻意次序调整：**本轮 target gate 不再是第一条生产命令；历史身份恢复、refresh exact probe、systemd contract/公网 origin 核对、远端 `POSTGRES_DB` 只读引导四步探测排在其之前。四步全程只读、逐步 fail-closed，任一失败均不得进入 target gate 或 Prisma status。
-- [x] 从 `34181e3` 只读恢复历史 `DEPLOY_SERVER`、`REMOTE_DIR`，从 `5e2d03893826` 恢复首次显式冻结的 `COMPOSE_PROJECT_NAME`，并要求两份历史记录的 `REMOTE_DIR` 一致；仅保存在当前进程，不把值写入 task、日志或对话。
+- [x] 从 `34181e3` 只读恢复历史 `DEPLOY_SERVER`，从 `5e2d03893826` 恢复首次显式冻结的 `COMPOSE_PROJECT_NAME`；确认历史 `REMOTE_DIR` 只是未验证 fallback，不作为身份基线。值仅保存在当前进程，不写入 task、日志或对话。
 - [x] 无回显探测 `DEPLOY_REFRESH_SERVER`，要求 exact forced-command `probe` 唯一 PASS；多个候选或零候选均 PAUSED。
 - [x] 修改 production preflight：取消对合法 `trialrun` 命名的单独拒绝，增加部署目标、远端目录、Compose project、systemd contract、公网 origin 的精确身份对账；保留回环/零地址/local regression/staging/shadow/placeholder 防线。
 - [x] 增加只读数据库身份 bootstrap：身份组匹配后读取远端 `.env` 的 `POSTGRES_DB`，在远端转换为 SHA-256 比较基线后仅在内存中传给 target gate；数据库名明文禁止离开远端、回显或落盘，读取失败或身份组不一致时不得进入 Prisma status。
 - [x] 增加 synthetic fixture：合法 `hyb-oa-trialrun` 身份通过；错误目录/project/host/db、回环、staging、占位符和多 refresh 候选 fail-closed；断言 bootstrap 不泄露值且顺序早于 status。
 - [x] 增加 `PRODUCTION_READ_ONLY_PREFLIGHT=1` 停止点：完成 target/pre-status 与回滚窗口后、进入 `deploy.sh` 前退出；只读证据复核通过前不得运行写入路径。
+- [x] 增加 `PRODUCTION_IDENTITY_ONLY=1` 停止点：以 contract 定位远端 `.env`/容器并完成 origin 双取样后，冻结 contract `REMOTE_DIR` 为进程内精确基线并立即退出；不得读取数据库名、运行 13 项体检或 Prisma。
 - [ ] 重新运行部署安全测试、shell/Node syntax、task/governance/sensitive/diff 门禁，提交并推送新的候选后重新通过 provenance。
 
 ## 2. 生产 preflight（全部只读）