实现(08-08-production-deployment-execution): 校准生产身份只读门禁

2026-08-08 17:33:25 +08:00
@@ -41,11 +41,11 @@

 ### 4.1 只读身份引导

-1. 从已审查历史提交 `34181e3` 的部署入口，在本地进程内恢复既有 `DEPLOY_SERVER`、`REMOTE_DIR` 和 `COMPOSE_PROJECT_NAME`；不输出字面值。
+1. 从已审查历史提交 `34181e3` 恢复既有 `DEPLOY_SERVER`、`REMOTE_DIR`，从首次显式冻结 Compose project 的提交 `5e2d03893826` 恢复 `COMPOSE_PROJECT_NAME`；两份历史记录的 `REMOTE_DIR` 必须一致，且不输出任何字面值。
 2. 从本机受控 SSH 配置无回显探测 refresh 候选，只有 exact forced-command `probe` 唯一 PASS 时才采用；零个或多个候选均停止。
 3. 使用恢复的部署目标只读读取受控 systemd contract，并要求 contract 的远端目录、Compose project 及其余路径合同通过 13 项既有校验；历史身份与当前 contract 不一致即停止。
 4. 从 OPS7 当前公网检查基准取得预期 HTTPS origin；只读比较远端 `.env` 和运行容器的 `APP_ORIGIN`，一致后才认为目标已被独立识别。
-5. 仅在前四步通过后，从同一远端 `.env` 读取 `POSTGRES_DB` 到当前进程变量；不打印、不写文件。它作为已确认目标的数据库身份基线，用于后续 env、`current_database()` 和运行时 `DATABASE_URL` 三方一致性核对。
+5. 仅在前四步通过后，从同一远端 `.env` 读取 `POSTGRES_DB` 并在远端转换为 SHA-256 比较基线；数据库名明文不离开远端、不打印、不写文件。该基线用于后续 env、`current_database()` 和运行时 `DATABASE_URL` 三方一致性核对。

 数据库名读取不是“连接任意目标后相信其自述”：它必须排在历史目标、远端 contract 和公网 origin 三层独立匹配之后。任一前置失败时不得读取或进入 Prisma status。

@@ -70,11 +70,13 @@ status 原文仅存在受控 SSH/执行现场；本地 helper 写入 `prisma-mig
 DEPLOY_SERVER=<历史身份恢复，仅进程内> \
 DEPLOY_REFRESH_SERVER=<exact probe 唯一身份，仅进程内> \
 EXPECTED_PRODUCTION_ORIGIN=<OPS7 公网基准，仅进程内> \
-EXPECTED_PRODUCTION_DB_NAME=<只读引导，仅进程内> \
+EXPECTED_PRODUCTION_DB_NAME_SHA256=<只读引导所得无明文比较基线，仅进程内> \
 EXPECTED_PENDING_MIGRATIONS=<明确 allowlist> \
 bash deploy/trialrun/deploy-existing.sh
 ```

+仅执行身份引导、target/pre-status 与回滚窗口检查时，顶层引导器向该入口传入 `PRODUCTION_READ_ONLY_PREFLIGHT=1`；preflight 成功后必须在 `deploy.sh` 前退出。该开关不跳过任何只读门禁，也不允许进入同步、迁移或应用切换。
+
 包装器固定 `SYNC_ENV=0`、`DEPLOY_DATA_MODE=existing` 和 `DEPLOY_STATUS_OUTPUT_MODE=quiet`。`deploy.sh` 内部的 `prisma migrate deploy` 是本 task 唯一允许的 schema 写入；不允许 seed、业务 API 写入、reset、resolve 或手工 DDL。

 部署后 helper 以空 pending allowlist重新执行 target/status/reconciliation，要求 schema up to date；随后才执行 refresh 和只读 readiness。refresh 失败分类为 `DEPLOYED_BUT_CONTRACT_REFRESH_FAILED`，不重复发布应用。
@@ -5,7 +5,7 @@
 - [x] 已向用户呈现本 task 的最终规划摘要，并取得对该摘要的最新明确批准。
 - [x] 已解决候选发布是否可进入上游的外部授权；未获授权不得使用 unpublished override。
 - [x] 任务从 `planning` 切换到 `in_progress` 前，确认本清单、PRD、design 与 Open Questions 已收敛。
- [ ] **规划修订复核：**确认唯一公网环境拓扑、精确身份匹配和数据库名只读引导的修订摘要，并重新批准后再改 tooling/连接生产。
+- [x] **规划修订复核：**确认唯一公网环境拓扑、精确身份匹配和数据库名只读引导的修订摘要，并重新批准后再改 tooling/连接生产。

 ## 1. 候选与本地证据

@@ -21,11 +21,12 @@
 ## 1.1 拓扑校准与 tooling 修订（生产前）

 - [ ] **刻意次序调整：**本轮 target gate 不再是第一条生产命令；历史身份恢复、refresh exact probe、systemd contract/公网 origin 核对、远端 `POSTGRES_DB` 只读引导四步探测排在其之前。四步全程只读、逐步 fail-closed，任一失败均不得进入 target gate 或 Prisma status。
- [ ] 从 `34181e3` 只读恢复历史 `DEPLOY_SERVER`、`REMOTE_DIR`、`COMPOSE_PROJECT_NAME`，仅保存在当前进程；不把值写入 task、日志或对话。
+- [x] 从 `34181e3` 只读恢复历史 `DEPLOY_SERVER`、`REMOTE_DIR`，从 `5e2d03893826` 恢复首次显式冻结的 `COMPOSE_PROJECT_NAME`，并要求两份历史记录的 `REMOTE_DIR` 一致；仅保存在当前进程，不把值写入 task、日志或对话。
 - [ ] 无回显探测 `DEPLOY_REFRESH_SERVER`，要求 exact forced-command `probe` 唯一 PASS；多个候选或零候选均 PAUSED。
- [ ] 修改 production preflight：取消对合法 `trialrun` 命名的单独拒绝，增加部署目标、远端目录、Compose project、systemd contract、公网 origin 的精确身份对账；保留回环/零地址/local regression/staging/shadow/placeholder 防线。
- [ ] 增加只读数据库身份 bootstrap：身份组匹配后读取远端 `.env` 的 `POSTGRES_DB`，只在内存中传给 target gate，禁止回显/落盘；读取失败或身份组不一致时不得进入 Prisma status。
- [ ] 增加 synthetic fixture：合法 `hyb-oa-trialrun` 身份通过；错误目录/project/host/db、回环、staging、占位符和多 refresh 候选 fail-closed；断言 bootstrap 不泄露值且顺序早于 status。
+- [x] 修改 production preflight：取消对合法 `trialrun` 命名的单独拒绝，增加部署目标、远端目录、Compose project、systemd contract、公网 origin 的精确身份对账；保留回环/零地址/local regression/staging/shadow/placeholder 防线。
+- [x] 增加只读数据库身份 bootstrap：身份组匹配后读取远端 `.env` 的 `POSTGRES_DB`，在远端转换为 SHA-256 比较基线后仅在内存中传给 target gate；数据库名明文禁止离开远端、回显或落盘，读取失败或身份组不一致时不得进入 Prisma status。
+- [x] 增加 synthetic fixture：合法 `hyb-oa-trialrun` 身份通过；错误目录/project/host/db、回环、staging、占位符和多 refresh 候选 fail-closed；断言 bootstrap 不泄露值且顺序早于 status。
+- [x] 增加 `PRODUCTION_READ_ONLY_PREFLIGHT=1` 停止点：完成 target/pre-status 与回滚窗口后、进入 `deploy.sh` 前退出；只读证据复核通过前不得运行写入路径。
 - [ ] 重新运行部署安全测试、shell/Node syntax、task/governance/sensitive/diff 门禁，提交并推送新的候选后重新通过 provenance。

 ## 2. 生产 preflight（全部只读）
@@ -92,6 +93,6 @@

 ## Planning Revision Evidence (2026-08-08)

- 历史提交 `34181e3` 的旧 `deploy.sh` 确有默认试运行身份；该身份的目录/project 命名与公网 origin 属于同一唯一运行环境，不能因 `trialrun` 字样单独拒绝。
+- 历史提交 `34181e3` 的旧 `deploy.sh` 确有默认部署 target/目录，但当时尚未显式设置 Compose project；`5e2d03893826` 首次冻结 project 且沿用同一远端目录。两份证据共同证明该遗留命名与公网 origin 属于同一唯一运行环境，不能因 `trialrun` 字样单独拒绝。
 - 现行 gate 尚未对 `DEPLOY_SERVER`、`REMOTE_DIR`、`COMPOSE_PROJECT_NAME` 与独立预期身份做精确对账；本节修订只允许先改部署/QA tooling，不改业务代码或生产数据。
 - 修订后的第一条远端动作仍是只读身份 bootstrap；数据库名读取排在 exact identity 匹配之后，任何 bootstrap 或 target gate FAIL 都不得继续。
@@ -29,7 +29,7 @@
 ### R1 发布来源与生产目标

 - 候选 commit 必须干净、已提交、已进入配置的上游远端；严格 wrapper 不接受 `DEPLOY_ALLOW_UNPUBLISHED_COMMIT` 或 `DEPLOY_UNPUBLISHED_REASON`。
- 公网 origin 从当前 OPS7 运维交接 Runbook 的现行公网检查基准取得；部署 SSH 目标、远端目录和 Compose project 从已审查历史提交 `34181e3` 的既有部署入口恢复，只在执行进程内使用，不复制到任务文档或普通日志。
+- 公网 origin 从当前 OPS7 运维交接 Runbook 的现行公网检查基准取得；部署 SSH 目标和远端目录从已审查历史提交 `34181e3` 恢复，Compose project 从首次显式冻结该值的历史提交 `5e2d03893826` 恢复，并要求两份历史记录的远端目录一致。三项只在执行进程内使用，不复制到任务文档或普通日志。
 - `DEPLOY_REFRESH_SERVER` 通过本机受控 SSH 配置的 exact forced-command `probe` 唯一识别；零个或多个候选均立即停止，不按别名、顺序或连接速度猜测。
 - 生产数据库名只允许在部署目标、远端目录、Compose project、受控 systemd contract 和公网 origin 已精确匹配后，通过一次获批的远端 `.env` 只读读取取得；值仅保留在同一执行进程内并转换为 target gate 所需的比较输入，不回显、不落盘。
 - target gate 必须精确验证 `DEPLOY_SERVER`、`REMOTE_DIR`、`COMPOSE_PROJECT_NAME`、公网 origin 与读取后的 `POSTGRES_DB` 身份组，并继续核对运行时 `DATABASE_URL` host/database、当前数据库、`NODE_ENV` 和 cookie 安全配置；任一身份不确定均 fail-closed。
@@ -90,7 +90,7 @@
 ## Operational Inputs (not committed)

 - `EXPECTED_PRODUCTION_ORIGIN`（从现行 OPS7 公网基准在进程内取得）
- `EXPECTED_PRODUCTION_DB_NAME`（仅在精确身份引导通过后，从远端 `.env` 只读取得并保留在同一进程）
+- `EXPECTED_PRODUCTION_DB_NAME_SHA256`（仅在精确身份引导通过后，于远端从 `.env` 读取数据库名并转换为不含明文的比较基线；数据库名明文本身不离开远端，也不进入日志或证据文件）
 - `EXPECTED_PENDING_MIGRATIONS`
 - 受控 `DEPLOY_SERVER`（从已审查历史入口恢复）、`DEPLOY_REFRESH_SERVER`（exact probe 唯一识别）、systemd contract 与 live smoke 凭据（如获批提供）