补充部署合同失败恢复说明（08-02-deployment-preflight-backup-contract-refresh）

deploy/trialrun/runbook.md

@@ -435,6 +435,7 @@ systemctl status hyb-oa-public-app-health.service --no-pager
    - 旧栈停止命令必须使用冻结阶段由 `docker compose ls` 实测的旧 project；不得拿新 project 名去停止旧容器。
    - `artifacts/` 和 `output/` 是运行期证据/截图目录，不作为源码发布输入，也不由 `rsync --delete` 清理远端历史证据。
    - 应用、`/ready`、smoke 和公网检查成功后，wrapper 才调用 forced-command `refresh`，以活动容器 build 原子刷新四个固定 service 的 systemd drop-in并验证四个 timer。失败时固定输出 `DEPLOYED_BUT_CONTRACT_REFRESH_FAILED`、退出非零，并明确表示应用已发布但合同未收口；不自动回滚应用。
+   - 出现 `DEPLOYED_BUT_CONTRACT_REFRESH_FAILED` 后，应用已经是通过 smoke 的新版本。修复对应的 root SSH、forced-command 程序、unit 或 timer 问题后，单独执行 `ssh <forced-command-ssh-target> refresh` 收敛合同，再重跑只读聚合体检；不要重跑应用部署，也不要绕过 `backup_build` 检查。
 3) 构建并重启：
 ```bash
 docker-compose -p "$COMPOSE_PROJECT_NAME" -f deploy/trialrun/docker-compose.yml --env-file deploy/trialrun/.env up -d --build server