记录企微原生预览生产验收（07-27-yang-jun-reimbursement-readiness）

.trellis/tasks/07-27-yang-jun-reimbursement-readiness/implement.md

@@ -116,6 +116,17 @@
 - [x] 用合成文件与 mock JS bridge 运行后端聚焦测试、前端 typecheck/build 和 PC/移动 Playwright 一致性回归。
 - [x] 运行 Trellis 治理、流程/文档、敏感扫描、`git diff --check`，并对新增短时授权边界做只读 review；不在本步骤部署生产。
 
+## 6.6 原生预览生产发布与运维对齐
+
+- [x] 将提交 `410d8cd` 推送后以 `SYNC_ENV=0` 发布；未覆盖生产 `.env`，62 个 migration 无待执行项，公网 `/ready` 的 12 位构建标识匹配。
+- [x] 如实记录两次发布尝试：第一次使用 runbook 示例发布目录和普通运维入口，来源/环境合同通过，但 rsync 因目录权限在同步前失败，生产未变化；随后从活动 Compose 标签解析实际发布根目录，复用既有受控 root 运维入口成功发布，未新增 sudo 或修改目录权限。
+- [x] external deps、runtime smoke 与公网 bundle 扫描通过；公网包包含 `previewFile`、同源 JS-SDK 签名接口和附件短时预览入口，未登录请求签名接口返回 401。
+- [x] 发布后从既有 unit 内部复用受控合同参数和运行时间，仅把 automatic backup 三项与 WARCH3 的构建标识刷新为 `410d8cd`；4 个 service 均匹配活动构建，4 个 timer 均为 enabled/active。
+- [x] 手工触发 automatic backup daily 和源端 watchdog，二者均为 `success/0`；daily 成功以异机接收端完成文件、manifest、哈希校验和原子 finalize 为既有合同。
+- [x] 记录非阻断依赖 finding：本次镜像构建审计报告 client 18 个风险（10 high），server 32 个风险（20 high、2 critical）；未在发布窗口执行自动升级，留待独立依赖升级和回归任务。
+- [x] 记录证据最小化 finding：既有 external/runtime smoke 输出仍包含不必要的配置标识和测试管理员联系方式；本任务不复述这些值，后续应独立收敛为状态与计数输出。
+- [ ] 请用户在企微自建应用刷新后先用无业务数据 PDF 验证原生预览，再由马建勇查看当前真实报销的发票与附件；材料真实可见前不得完成主管审批。
+
 ## 7. 完成条件
 
 - [ ] PRD 全部验收项有脱敏证据或明确由用户完成的真实业务验收结果。
@@ -165,3 +176,7 @@
 - 短时授权只读 review：grant 绑定用途、报销、附件、actor 与过期时间；签发前检查当前对象权限和下载理由，实际取件审计失败时不发送文件。review 发现附件 GET 初版会在普通未认证请求前查询对象，已改为无 grant 先认证、有 grant 先验签再查对象，并用回归固定 401/403 前置拒绝。
 - 原生预览回归：最终后端聚焦 3 个文件、46 项通过；服务端全量基线 169 个文件、1101 项通过；Prisma validate、touched server `node --check`、前端 typecheck/build 通过。聚焦 Playwright PC/企微 2/2 通过，mock bridge 收到准确 URL/name/size，企微路径未调用 `window.open`。
 - 原生预览治理：task validate、Trellis governance、process contract、敏感扫描与 `git diff --check` 通过；文档审计 0 error、1 个既有注册汇总 warning。稳定例外已写入 `wecom-boundary`、`security-privacy` 与 `reimbursement-invoice-ocr` spec。本步骤未部署生产，真机和真实材料验收仍待单独批准。
+- 原生预览生产发布：`410d8cd71b1f` 已部署，`SYNC_ENV=0`，62 个 migration 无待执行项；`/ready`、external deps、runtime smoke 与公网 bundle 扫描通过，未登录 JS-SDK 签名请求为 401。第一次尝试在同步前因示例目录权限失败且生产未变化，第二次通过活动 Compose 标签解析实际发布根目录并复用既有受控 root 运维入口成功。
+- 本次发布后运维身份：automatic backup 三项与 WARCH3 共 4 个 service 均匹配 `410d8cd`，4 个 timer 均 enabled/active；新 automatic backup daily 与源端 watchdog 均为 `success/0`。
+- 新增 finding：镜像构建审计为 client 18 个风险（10 high）、server 32 个风险（20 high、2 critical），未执行自动修复；既有部署 smoke 还会输出不必要的配置标识和测试管理员联系方式，后续需分别建立依赖升级回归和证据最小化收敛项。
+- 外部验收边界：生产已部署但企微真机中的无业务 PDF 原生预览、马建勇对真实发票与附件的可见性仍待人工验收；在材料真实可见前不得完成主管审批。