实现(08-08-production-deployment-execution): 校准生产身份只读门禁

.trellis/tasks/08-08-production-deployment-execution/design.md

@@ -41,11 +41,11 @@
 
 ### 4.1 只读身份引导
 
-1. 从已审查历史提交 `34181e3` 的部署入口，在本地进程内恢复既有 `DEPLOY_SERVER`、`REMOTE_DIR` 和 `COMPOSE_PROJECT_NAME`；不输出字面值。
+1. 从已审查历史提交 `34181e3` 恢复既有 `DEPLOY_SERVER`、`REMOTE_DIR`，从首次显式冻结 Compose project 的提交 `5e2d03893826` 恢复 `COMPOSE_PROJECT_NAME`；两份历史记录的 `REMOTE_DIR` 必须一致，且不输出任何字面值。
 2. 从本机受控 SSH 配置无回显探测 refresh 候选，只有 exact forced-command `probe` 唯一 PASS 时才采用；零个或多个候选均停止。
 3. 使用恢复的部署目标只读读取受控 systemd contract，并要求 contract 的远端目录、Compose project 及其余路径合同通过 13 项既有校验；历史身份与当前 contract 不一致即停止。
 4. 从 OPS7 当前公网检查基准取得预期 HTTPS origin；只读比较远端 `.env` 和运行容器的 `APP_ORIGIN`，一致后才认为目标已被独立识别。
-5. 仅在前四步通过后，从同一远端 `.env` 读取 `POSTGRES_DB` 到当前进程变量；不打印、不写文件。它作为已确认目标的数据库身份基线，用于后续 env、`current_database()` 和运行时 `DATABASE_URL` 三方一致性核对。
+5. 仅在前四步通过后，从同一远端 `.env` 读取 `POSTGRES_DB` 并在远端转换为 SHA-256 比较基线；数据库名明文不离开远端、不打印、不写文件。该基线用于后续 env、`current_database()` 和运行时 `DATABASE_URL` 三方一致性核对。
 
 数据库名读取不是“连接任意目标后相信其自述”：它必须排在历史目标、远端 contract 和公网 origin 三层独立匹配之后。任一前置失败时不得读取或进入 Prisma status。
 
@@ -70,11 +70,13 @@ status 原文仅存在受控 SSH/执行现场；本地 helper 写入 `prisma-mig
 DEPLOY_SERVER=<历史身份恢复，仅进程内> \
 DEPLOY_REFRESH_SERVER=<exact probe 唯一身份，仅进程内> \
 EXPECTED_PRODUCTION_ORIGIN=<OPS7 公网基准，仅进程内> \
-EXPECTED_PRODUCTION_DB_NAME=<只读引导，仅进程内> \
+EXPECTED_PRODUCTION_DB_NAME_SHA256=<只读引导所得无明文比较基线，仅进程内> \
 EXPECTED_PENDING_MIGRATIONS=<明确 allowlist> \
 bash deploy/trialrun/deploy-existing.sh
 ```
 
+仅执行身份引导、target/pre-status 与回滚窗口检查时，顶层引导器向该入口传入 `PRODUCTION_READ_ONLY_PREFLIGHT=1`；preflight 成功后必须在 `deploy.sh` 前退出。该开关不跳过任何只读门禁，也不允许进入同步、迁移或应用切换。
+
 包装器固定 `SYNC_ENV=0`、`DEPLOY_DATA_MODE=existing` 和 `DEPLOY_STATUS_OUTPUT_MODE=quiet`。`deploy.sh` 内部的 `prisma migrate deploy` 是本 task 唯一允许的 schema 写入；不允许 seed、业务 API 写入、reset、resolve 或手工 DDL。
 
 部署后 helper 以空 pending allowlist重新执行 target/status/reconciliation，要求 schema up to date；随后才执行 refresh 和只读 readiness。refresh 失败分类为 `DEPLOYED_BUT_CONTRACT_REFRESH_FAILED`，不重复发布应用。