Merge verified deployment safeguards and operations handoff into main

deploy/README.md

@@ -125,7 +125,7 @@ TLS 证书自备(Let's Encrypt / 云证书);域名要和 `.env` 的 `PAC_DOMAIN`
 
 ### 托管 DB/Redis(阿里云 RDS + Redis,可选)
 
-默认自带 PG/Redis(compose 内置)。要走托管:①gen-env 时传托管连接串,②部署时加 `COMPOSE_MANAGED=1`。应用代码零改动。
+基础 Compose 默认自带 PG/Redis。当前 main/production 必须显式设置 `COMPOSE_MANAGED=1`，test/staging 则保持未设置或 `0`；三个发布入口共用模式检查，错误时在构建/迁移/重启前退出。托管发布完成前还需通过应用机私网端点检查。要走托管:①gen-env 时传托管连接串,②部署时加 `COMPOSE_MANAGED=1`。应用代码零改动。
 
 ```bash
 # ① 生成 env 时指向托管端点(不启自带 PG/Redis)

deploy/deploy-ai.sh

@@ -7,6 +7,8 @@ main() {
   [[ "$target" == staging || "$target" == production ]] || { echo '用法：bash deploy/deploy-ai.sh staging|production [--check|--no-pull]'; return 1; }
   [[ -z "$option" || "$option" == --check || "$option" == --no-pull ]] || { echo '未知选项'; return 1; }
   cd "$(dirname "${BASH_SOURCE[0]}")/.."
+  source deploy/deploy-mode.sh
+  check_deploy_mode "$target"
   local branch=test
   [[ "$target" == production ]] && branch=main
   [[ "$(git branch --show-current)" == "$branch" ]] || { echo "部署要求当前分支为 $branch"; return 1; }
@@ -53,6 +55,12 @@ main() {
     [[ "$actual" == "$expected" ]] || { echo "$service 镜像校验失败"; return 1; }
   done
   "${compose[@]}" exec -T --interactive=false ai-service node -e "fetch(process.env.AI_PAC_BASE_URL+'/health',{signal:AbortSignal.timeout(5000)}).then(async r=>{const v=await r.json();if(!r.ok||v.status!=='ok')process.exit(1)}).catch(()=>process.exit(1))"
+  if [[ "${COMPOSE_MANAGED:-0}" == 1 ]]; then
+    local private_ip
+    private_ip=$(deploy_private_ip)
+    verify_deploy_endpoint "http://$private_ip:3104/health/ready" ready
+    verify_deploy_endpoint "http://$private_ip:3103/login" web
+  fi
   printf '%s\n' "$AI_IMAGE_TAG" > "$state/current-image-tag"
   echo "FridayAI 部署完成：${AI_IMAGE_TAG}；Web 3103 / API 3104；PAC 未重启"
 }

deploy/deploy-ingress.sh

@@ -6,6 +6,8 @@ option=${2:-}
 [[ -z "$option" || "$option" == --check ]] || { echo '未知选项'; exit 1; }
 [[ "$target" == staging || "$target" == production ]] || { echo '用法：bash deploy/deploy-ingress.sh staging|production [--check]'; exit 1; }
 cd "$(dirname "${BASH_SOURCE[0]}")/.."
+source deploy/deploy-mode.sh
+check_deploy_mode "$target"
 branch=test
 [[ "$target" == production ]] && branch=main
 [[ "$(git branch --show-current)" == "$branch" ]] || { echo "要求当前分支为 $branch"; exit 1; }
@@ -31,6 +33,10 @@ id=$("${compose[@]}" ps -q channel-ingress)
 expected=$(docker image inspect "pac-channel-ingress:$INGRESS_IMAGE_TAG" --format '{{.Id}}')
 actual=$(docker inspect "$id" --format '{{.Image}}')
 [[ "$expected" == "$actual" ]] || { echo '中转镜像校验失败'; exit 1; }
+if [[ "${COMPOSE_MANAGED:-0}" == 1 ]]; then
+  private_ip=$(deploy_private_ip)
+  verify_deploy_endpoint "http://$private_ip:3106/health" health
+fi
 mkdir -p "$(git rev-parse --git-common-dir)/ingress-deploy"
 printf '%s\n' "$INGRESS_IMAGE_TAG" > "$(git rev-parse --git-common-dir)/ingress-deploy/current-image-tag"
 echo "中转部署完成：${INGRESS_IMAGE_TAG}；3106；未修改 Nginx、未停止旧调试中转"

deploy/deploy-mode.sh

+#!/usr/bin/env bash
+# 三套发布入口共用；当前生产采用 RDS + 远端网关，测试采用本机代理。
+# ⛔ 不自动开启托管模式：它会开放主机监听地址，必须由部署者明确选择。
+check_deploy_mode() {
+  local target="$1" mode="${COMPOSE_MANAGED:-0}"
+  case "$mode" in
+    0|1) ;;
+    *) echo 'FAIL: COMPOSE_MANAGED 只能为 0 或 1' >&2; return 1 ;;
+  esac
+  case "$target" in
+    main|production)
+      if [[ "$mode" != 1 ]]; then
+        echo 'FAIL: 当前生产使用远端网关，必须显式设置 COMPOSE_MANAGED=1；未执行构建、迁移或重启。' >&2
+        return 1
+      fi ;;
+    test|staging)
+      if [[ "$mode" != 0 ]]; then
+        echo 'FAIL: 当前测试使用本机代理，请取消 COMPOSE_MANAGED 或设为 0，避免开放应用端口。' >&2
+        return 1
+      fi ;;
+  esac
+}
+
+# 在应用已通过容器健康检查后，另验主机私网路径。不能代替网关/安全组验收。
+deploy_private_ip() {
+  local addr
+  addr=$(ip -4 route get 1 2>/dev/null | awk '{for(i=1;i<=NF;i++) if($i=="src"){print $(i+1);exit}}') || true
+  if [[ -z "$addr" || "$addr" == 127.* || "$addr" == 0.0.0.0 ]]; then
+    echo 'FAIL: 无法确定应用机私网地址，不能验证网关上游' >&2
+    return 1
+  fi
+  printf '%s' "$addr"
+}
+
+# $1 URL，$2 web|health|ready；只接受 HTTP 200，健康接口必须核验 JSON 状态。
+verify_deploy_endpoint() {
+  local url="$1" kind="$2" out code body
+  out=$(curl --noproxy '*' -sS --connect-timeout 3 --max-time 10 -w '\n%{http_code}' "$url") || {
+    echo "FAIL: 私网端点不可达：${url}；请检查 managed 端口绑定" >&2
+    return 1
+  }
+  code=${out##*$'\n'}
+  body=${out%$'\n'*}
+  if [[ "$code" != 200 ]]; then
+    echo "FAIL: 私网端点 $url 返回 HTTP $code" >&2
+    return 1
+  fi
+  if [[ "$kind" != web ]] && ! grep -Eq '"status"[[:space:]]*:[[:space:]]*"ok"' <<<"$body"; then
+    echo "FAIL: 私网健康检查不通过：$url" >&2
+    return 1
+  fi
+  if [[ "$kind" == ready ]] && ! grep -Eq '"db"[[:space:]]*:[[:space:]]*"up"' <<<"$body"; then
+    echo "FAIL: 私网数据库就绪检查不通过：$url" >&2
+    return 1
+  fi
+  echo "私网端点通过：$url"
+}

deploy/deploy-prod.sh

@@ -15,9 +15,10 @@
 #   故生产机停在 main、测试机停在 test 即可;临时切别的分支用 DEPLOY_BRANCH 覆盖。
 #
 # 用法(服务器上,~/pac):
-#   bash deploy/deploy-prod.sh                    # 部署当前分支(生产机=main / 测试机=test)
+#   COMPOSE_MANAGED=1 bash deploy/deploy-prod.sh   # 生产(main,远端网关)
+#   bash deploy/deploy-prod.sh                    # 测试(test,本机代理)
 #   DEPLOY_BRANCH=test bash deploy/deploy-prod.sh # 显式指定分支(首次把某机切到该分支)
-#   bash deploy/deploy-prod.sh --no-pull          # 跳过 git 拉取(代码已就位时)
+#   COMPOSE_MANAGED=1 bash deploy/deploy-prod.sh --no-pull # 生产跳过 git 拉取(代码已就位时)
 set -euo pipefail
 
 log() { printf '\n\033[1;36m== %s ==\033[0m\n' "$*"; }
@@ -43,6 +44,10 @@ probe_health() { # $1=base(如 http://127.0.0.1:3101) → stdout "<code> <body
 main() {
   cd "$(dirname "$0")/.."
 
+  source deploy/deploy-mode.sh
+  local BRANCH="${DEPLOY_BRANCH:-$(git rev-parse --abbrev-ref HEAD)}"
+  check_deploy_mode "$BRANCH"
+
   # 与 FridayAI 共用 checkout，发布期间禁止另一套流程修改源码或构建。
   exec 9>"$(git rev-parse --git-common-dir)/deploy.lock"
   flock -n 9 || die "PAC 或 FridayAI 正在部署"
@@ -84,8 +89,6 @@ main() {
 
   # 部署哪个分支:规约 main=生产 / test=测试。默认跟随本机当前 checkout 的分支(不写死),
   # 故生产机(在 main)自然部署 main、测试机(在 test)自然部署 test;需临时切分支再用 DEPLOY_BRANCH 覆盖。
-  local BRANCH="${DEPLOY_BRANCH:-$(git rev-parse --abbrev-ref HEAD)}"
-
   if [[ "${1:-}" != "--no-pull" ]]; then
     log "拉取分支 $BRANCH(fetch + checkout + ff-only)"
     git fetch origin "$BRANCH"
@@ -182,13 +185,10 @@ main() {
   # 这里额外验私网 IP 可达,把"loopback 通、网关不通"的漂移在部署当场拦下(2026-07-18 踩过)。
   if [[ "${COMPOSE_MANAGED:-0}" == "1" ]]; then
     log "验证 3b:私网 IP 可达(网关路径,防 loopback-only 绑定)"
-    local priv phealth pweb
-    priv=$(ip route get 1 2>/dev/null | awk '{for(i=1;i<=NF;i++) if($i=="src"){print $(i+1);exit}}')
-    [[ -n "$priv" ]] || die "拿不到私网 IP(ip route get 1 解析失败)"
-    phealth=$(probe_health "http://$priv:3101") || die "私网 $priv:3101 /health 不健康($phealth)— 应用可能绑成 loopback,网关够不到(会 502)。托管环境需 web/service 绑 0.0.0.0(见 docker-compose.managed.yml)"
-    pweb=$(curl -s -m 30 -o /dev/null -w '%{http_code}' "http://$priv:3100/plans" || true)
-    [[ "$pweb" == "200" ]] || die "私网 $priv:3100 web=$pweb — 同上(loopback 绑定 → 网关 502)"
-    echo "  私网 $priv health 200 / web 200(网关路径 OK)"
+    local priv
+    priv=$(deploy_private_ip)
+    verify_deploy_endpoint "http://$priv:3101/health" health
+    verify_deploy_endpoint "http://$priv:3100/plans" web
   fi
 
   log "部署成功 ✅  $(git log --oneline -1)"

deploy/production/friday-ai-gateway.conf.example

-# 在现有生产网关安装。替换 AI_DOMAIN、RELAY_DOMAIN、证书路径后 nginx -t。
+# 在现有生产网关安装。域名统一为 fai.friday.tech；填写实际证书路径后 nginx -t。
 # 前提：只有此网关可访问应用机 3103/3104/3106；真实来源仅一层代理。
 server {
     listen 80;
-    server_name AI_DOMAIN RELAY_DOMAIN;
+    server_name fai.friday.tech;
     return 301 https://$host$request_uri;
 }
 server {
     listen 443 ssl;
-    server_name AI_DOMAIN;
+    server_name fai.friday.tech;
     ssl_certificate /REQUIRED/AI/fullchain.pem;
     ssl_certificate_key /REQUIRED/AI/privkey.pem;
     client_max_body_size 25m;
@@ -27,13 +27,7 @@ server {
     }
     location = /health { proxy_pass http://172.16.4.239:3104; access_log off; }
     location = /health/ready { proxy_pass http://172.16.4.239:3104; access_log off; }
-    location / { proxy_pass http://172.16.4.239:3103; }
-}
-server {
-    listen 443 ssl;
-    server_name RELAY_DOMAIN;
-    ssl_certificate /REQUIRED/RELAY/fullchain.pem;
-    ssl_certificate_key /REQUIRED/RELAY/privkey.pem;
+    # 回调直接交给独立中转，AI 停服时仍可接收。
     location = /hook/ecom {
         limit_except POST { deny all; }
         client_max_body_size 20m;
@@ -44,5 +38,10 @@ server {
         proxy_connect_timeout 2s;
         proxy_read_timeout 8s;
     }
-    location / { return 404; }
+    # 不暴露中转的本地调试和管理入口。
+    location = /local { return 404; }
+    location ^~ /local/ { return 404; }
+    location = /status { return 404; }
+    location ^~ /hook/ { return 404; }
+    location / { proxy_pass http://172.16.4.239:3103; }
 }

deploy/tests/deploy-ai.test.mjs

@@ -15,12 +15,14 @@ function runDeploy({
   piped = false,
   managed = false,
   target = 'staging',
+  privateFail = false,
 } = {}) {
   const root = mkdtempSync(join(tmpdir(), 'ai-deploy-flow-'));
   const bin = join(root, 'bin'),
     log = join(root, 'commands.log');
   for (const dir of [bin, join(root, '.git'), join(root, 'deploy')]) mkdirSync(dir);
   copyFileSync(source, join(root, 'deploy/deploy-ai.sh'));
+  copyFileSync(resolve('deploy/deploy-mode.sh'), join(root, 'deploy/deploy-mode.sh'));
   writeFileSync(log, '');
   const common = 'printf "%s\\n" "$(basename "$0") $*" >> "$DEPLOY_TEST_LOG"\n';
   const stubs = {
@@ -30,6 +32,9 @@ function runDeploy({
       'rev-parse --git-common-dir') echo .git ;;
     esac`,
     flock: 'exit 0',
+    ip: 'echo "1 via 172.16.4.1 dev eth0 src 172.16.4.239"',
+    curl: `[[ "$PRIVATE_FAIL" != 1 ]] || exit 7
+printf '{"status":"ok","db":"up"}\\n200'`,
     docker: String.raw`if [[ ( "$*" == *' run '* || "$*" == *' exec '* ) && "$*" != *'--interactive=false'* ]]; then cat >/dev/null; fi
       if [[ -n "$DEPLOY_TEST_FAIL" && "$*" == *"$DEPLOY_TEST_FAIL"* ]]; then exit 43; fi
       case "$*" in
@@ -62,7 +67,8 @@ function runDeploy({
           ...process.env,
           PATH: `${bin}:${process.env.PATH}`,
           DEPLOY_TEST_LOG: log,
-          COMPOSE_MANAGED: managed ? '1' : '0',
+          COMPOSE_MANAGED: typeof managed === 'string' ? managed : managed ? '1' : '0',
+          PRIVATE_FAIL: privateFail ? '1' : '0',
           DEPLOY_TEST_FAIL: fail,
           DEPLOY_TEST_BRANCH: branch,
           DEPLOY_TEST_MISMATCH: mismatch ? '1' : '0',
@@ -141,3 +147,28 @@ test('生产托管模式每个 Compose 操作均加载生产端口覆盖', () =>
       .every((c) => c.includes('-f docker-compose.ai.managed.yml')),
   );
 });
+
+for (const managed of [false, '', 'true']) {
+  test(`生产未明确开启托管模式时提前拒绝: ${managed}`, () => {
+    const { result, commands } = runDeploy({ target: 'production', branch: 'main', managed });
+    assert.notEqual(result.status, 0);
+    assert.match(result.stderr, /COMPOSE_MANAGED/);
+    assert.ok(!commands.some((c) => /^(docker|flock) |git fetch|git merge/.test(c)));
+  });
+}
+test('测试误开托管模式时提前拒绝', () => {
+  const { result, commands } = runDeploy({ managed: true });
+  assert.notEqual(result.status, 0);
+  assert.ok(!commands.some((c) => c.startsWith('docker ')));
+});
+test('AI 容器健康但私网不可达时不能报告部署完成', () => {
+  const { result } = runDeploy({
+    target: 'production',
+    branch: 'main',
+    managed: true,
+    privateFail: true,
+  });
+  assert.notEqual(result.status, 0);
+  assert.match(result.stderr, /私网端点不可达/);
+  assert.doesNotMatch(result.stdout, /FridayAI 部署完成/);
+});

deploy/tests/deploy-ingress.test.mjs

@@ -4,30 +4,42 @@ import { mkdtempSync, mkdirSync, writeFileSync, readFileSync, copyFileSync, rmSy
 import { tmpdir } from 'node:os';
 import { join, resolve } from 'node:path';
 import { spawnSync } from 'node:child_process';
-function run({ check = false, fail = '' } = {}) {
+function run({
+  check = false,
+  fail = '',
+  managed = '1',
+  privateFail = false,
+  target = 'production',
+} = {}) {
   const root = mkdtempSync(join(tmpdir(), 'ingress-deploy-'));
   try {
     for (const d of ['deploy', 'bin', '.git']) mkdirSync(join(root, d));
     copyFileSync(resolve('deploy/deploy-ingress.sh'), join(root, 'deploy/deploy-ingress.sh'));
+    copyFileSync(resolve('deploy/deploy-mode.sh'), join(root, 'deploy/deploy-mode.sh'));
     const log = join(root, 'log');
     writeFileSync(log, '');
     const scripts = {
-      git: `case "$*" in 'branch --show-current') echo main;; 'rev-parse --git-common-dir') echo .git;; 'rev-parse --short HEAD') echo abc123;; esac`,
+      git: `case "$*" in 'branch --show-current') echo "$BRANCH";; 'rev-parse --git-common-dir') echo .git;; 'rev-parse --short HEAD') echo abc123;; esac`,
       flock: 'exit 0',
+      ip: 'echo "1 via 172.16.4.1 dev eth0 src 172.16.4.239"',
+      curl: `[[ "$PRIVATE_FAIL" != 1 ]] || exit 7
+printf '{"status":"ok","db":"up"}\\n200'`,
       docker: `printf '%s\\n' "$*" >> "$LOG"\n[[ -z "$FAIL" || "$*" != *"$FAIL"* ]] || exit 43\ncase "$*" in *' ps -q channel-ingress') echo container;; 'image inspect '*|'inspect '*) echo sha256:expected;; esac`,
     };
     for (const [n, s] of Object.entries(scripts))
       writeFileSync(join(root, 'bin', n), '#!/bin/bash\nset -eu\n' + s, { mode: 0o755 });
     const r = spawnSync(
       'bash',
-      [join(root, 'deploy/deploy-ingress.sh'), 'production', ...(check ? ['--check'] : [])],
+      [join(root, 'deploy/deploy-ingress.sh'), target, ...(check ? ['--check'] : [])],
       {
         encoding: 'utf8',
         timeout: 10000,
         env: {
           ...process.env,
           PATH: join(root, 'bin') + ':' + process.env.PATH,
-          COMPOSE_MANAGED: '1',
+          COMPOSE_MANAGED: managed,
+          PRIVATE_FAIL: privateFail ? '1' : '0',
+          BRANCH: target === 'production' ? 'main' : 'test',
           LOG: log,
           FAIL: fail,
         },
@@ -64,3 +76,24 @@ test('中转路由校验失败保持原容器，成功后才切换镜像', () =>
   assert.ok(good.log.indexOf('verifyRouting') < good.log.indexOf('up -d'));
   assert.doesNotMatch(good.log, /stop ai/);
 });
+
+for (const managed of ['', '0', 'true']) {
+  test(`生产中转漏配或错配托管模式时不调用 Docker: ${managed}`, () => {
+    const { r, log } = run({ managed });
+    assert.notEqual(r.status, 0);
+    assert.match(r.stderr, /COMPOSE_MANAGED/);
+    assert.equal(log, '');
+  });
+}
+test('测试中转本机模式正常，误开托管模式拒绝', () => {
+  assert.equal(run({ target: 'staging', managed: '0', check: true }).r.status, 0);
+  const { r, log } = run({ target: 'staging' });
+  assert.notEqual(r.status, 0);
+  assert.equal(log, '');
+});
+test('中转私网不通时不能报告部署完成', () => {
+  const { r } = run({ privateFail: true });
+  assert.notEqual(r.status, 0);
+  assert.match(r.stderr, /私网端点不可达/);
+  assert.doesNotMatch(r.stdout, /中转部署完成/);
+});

deploy/tests/deploy-mode.test.mjs

+import { test } from 'node:test';
+import assert from 'node:assert/strict';
+import { mkdtempSync, mkdirSync, writeFileSync, copyFileSync, rmSync, readFileSync } from 'node:fs';
+import { tmpdir } from 'node:os';
+import { join, resolve } from 'node:path';
+import { spawnSync } from 'node:child_process';
+
+const helper = resolve('deploy/deploy-mode.sh');
+function probe(body, code = '200', kind = 'ready') {
+  const root = mkdtempSync(join(tmpdir(), 'deploy-probe-'));
+  try {
+    writeFileSync(join(root, 'curl'), '#!/bin/sh\nprintf "%s\\n%s" "$BODY" "$CODE"\n', {
+      mode: 0o755,
+    });
+    return spawnSync(
+      'bash',
+      [
+        '-c',
+        'source "$1"; verify_deploy_endpoint http://172.16.4.239:3104/health/ready "$2"',
+        'test',
+        helper,
+        kind,
+      ],
+      {
+        encoding: 'utf8',
+        timeout: 5000,
+        env: { ...process.env, PATH: root + ':' + process.env.PATH, BODY: body, CODE: code },
+      },
+    );
+  } finally {
+    rmSync(root, { recursive: true, force: true });
+  }
+}
+
+test('健康检查验证业务状态，不能把 HTTP 200 错误页视为成功', () => {
+  assert.equal(probe('{"status": "ok", "db": "up"}').status, 0);
+  for (const body of ['{"code":10004}', '{"status":"ok","db":"down"}', '<html>error</html>'])
+    assert.notEqual(probe(body).status, 0);
+  assert.notEqual(probe('{"status":"ok","db":"up"}', '502').status, 0);
+  assert.equal(probe('{"status":"ok"}', '200', 'health').status, 0);
+  assert.equal(probe('<html>login</html>', '200', 'web').status, 0);
+});
+
+test('PAC main 分支漏配托管模式，即使没有 env，也在 Docker 和发布锁之前拒绝', () => {
+  const root = mkdtempSync(join(tmpdir(), 'pac-mode-'));
+  try {
+    for (const d of ['deploy', 'bin']) mkdirSync(join(root, d));
+    for (const f of ['deploy-prod.sh', 'deploy-mode.sh'])
+      copyFileSync(resolve('deploy', f), join(root, 'deploy', f));
+    writeFileSync(join(root, 'bin/git'), '#!/bin/sh\necho main\n', { mode: 0o755 });
+    for (const f of ['docker', 'flock'])
+      writeFileSync(join(root, 'bin', f), '#!/bin/sh\necho called >> "$LOG"\nexit 99\n', {
+        mode: 0o755,
+      });
+    const log = join(root, 'log');
+    writeFileSync(log, '');
+    const env = { ...process.env, PATH: join(root, 'bin') + ':' + process.env.PATH, LOG: log };
+    delete env.COMPOSE_MANAGED;
+    delete env.DEPLOY_BRANCH;
+    const r = spawnSync('bash', [join(root, 'deploy/deploy-prod.sh'), '--no-pull'], {
+      env,
+      encoding: 'utf8',
+      timeout: 5000,
+    });
+    assert.notEqual(r.status, 0);
+    assert.match(r.stderr, /COMPOSE_MANAGED=1/);
+    assert.equal(readFileSync(log, 'utf8'), '');
+  } finally {
+    rmSync(root, { recursive: true, force: true });
+  }
+});

deploy/tests/deploy-pac.test.mjs

@@ -8,22 +8,38 @@ import { spawnSync } from 'node:child_process';
 test('PAC 迁移失败保留应用和已运行的基础设施', () => {
   const root = mkdtempSync(join(tmpdir(), 'pac-migration-failure-'));
   try {
-    for (const d of ['bin', '.git', 'deploy', 'apps/pac-service']) mkdirSync(join(root, d), { recursive: true });
+    for (const d of ['bin', '.git', 'deploy', 'apps/pac-service'])
+      mkdirSync(join(root, d), { recursive: true });
     copyFileSync(resolve('deploy/deploy-prod.sh'), join(root, 'deploy/deploy-prod.sh'));
-    writeFileSync(join(root, 'apps/pac-service/.env'), 'DATABASE_URL=postgresql://dev:dev@localhost:5432/pac\n');
+    copyFileSync(resolve('deploy/deploy-mode.sh'), join(root, 'deploy/deploy-mode.sh'));
+    writeFileSync(
+      join(root, 'apps/pac-service/.env'),
+      'DATABASE_URL=postgresql://dev:dev@localhost:5432/pac\n',
+    );
     const log = join(root, 'calls');
     writeFileSync(log, '');
     for (const [name, body] of Object.entries({
       git: 'case "$*" in "rev-parse --git-common-dir") echo .git;; "rev-parse --abbrev-ref HEAD") echo test;; esac',
       flock: 'exit 0',
-      docker: 'echo "$*" >> "$TEST_CALLS"\ncase "$*" in *"ps -q --status running"*) echo existing;; *"run --rm --no-deps -T --interactive=false pac-migrate"*) exit 42;; esac',
-    })) writeFileSync(join(root, 'bin', name), '#!/bin/sh\n' + body + '\n', { mode: 0o755 });
+      docker:
+        'echo "$*" >> "$TEST_CALLS"\ncase "$*" in *"ps -q --status running"*) echo existing;; *"run --rm --no-deps -T --interactive=false pac-migrate"*) exit 42;; esac',
+    }))
+      writeFileSync(join(root, 'bin', name), '#!/bin/sh\n' + body + '\n', { mode: 0o755 });
     const r = spawnSync('bash', ['deploy/deploy-prod.sh', '--no-pull'], {
-      cwd: root, encoding: 'utf8', env: { ...process.env, COMPOSE_MANAGED: '0', PATH: join(root, 'bin') + ':' + process.env.PATH, TEST_CALLS: log },
+      cwd: root,
+      encoding: 'utf8',
+      env: {
+        ...process.env,
+        COMPOSE_MANAGED: '0',
+        PATH: join(root, 'bin') + ':' + process.env.PATH,
+        TEST_CALLS: log,
+      },
     });
     assert.equal(r.status, 42, r.stdout + r.stderr);
     const calls = readFileSync(log, 'utf8');
     assert.match(calls, /run --rm --no-deps -T --interactive=false pac-migrate/);
     assert.doesNotMatch(calls, /\b(up|stop|restart|rm)\b.*(pac-service|pac-web|postgres|redis)/);
-  } finally { rmSync(root, { recursive: true, force: true }); }
+  } finally {
+    rmSync(root, { recursive: true, force: true });
+  }
 });

docs/friday-ai-production-deployment.md

@@ -18,22 +18,22 @@
 | RDS 规模 | 统计估算约 122 万患者、4,732 万事实、4,722 万事务；连接当时 42 / 820。未执行全表计数 |
 | 基础工具 | Compose 2.32.4，满足 raw env / override 要求；主机未发现 `psql`、`nginx`、`jq`。Node/pnpm 随镜像提供，不需要安装到主机 |
 
-生产仍使用同一份 `/data/pac` 源码，三个 Compose 项目独立发布。生产命令统一加 `COMPOSE_MANAGED=1`，加载仓库中的私网端口覆盖；测试环境不加。无需主机 Node/pnpm。
+生产仍使用同一份 `/data/pac` 源码，三个 Compose 项目独立发布。生产命令统一加 `COMPOSE_MANAGED=1`，加载仓库中的私网端口覆盖；测试环境不加。三个部署入口均在构建/迁移/停服务前检查：生产必须显式设为 `1`，测试拒绝设为 `1`，其他非法值直接退出；不自动切换模式。部署后还校验应用机私网端点，失败不会报告部署成功，但仍需运维验证网关和安全组。无需主机 Node/pnpm。
 
-准备执行记录见 [上线准备验收](qa/2026-10-10-production-readiness.md)。本手册中的域名、账号和供应商值是待运维填写项，不能直接用测试值替代。
+准备执行记录见 [上线准备验收](qa/2026-10-10-production-readiness.md)。生产域名已确定为 `fai.friday.tech`，DNS 与证书待运维配置。OSS 和模型凭据按已确认方案复用测试值，其余账号及供应商配置仍需分别核实。
 
 ## 2. 发布前交付清单
 
 | 提供方 | 必需资料 / 动作 |
 | --- | --- |
-| 运维：域名 | 确认 AI 生产域名与回调域名，例如 `fai.friday.tech`、`relay.friday.tech`（仅建议，尚未确认）；DNS、HTTPS 证书、网关配置权限 |
+| 运维：域名 | 为 `fai.friday.tech` 配置 DNS 指向现有生产网关，签发 HTTPS 证书；AI 与 ECom 回调共用此域名 |
 | 运维：网络 | 网关到应用机私网 IP 的 3103 / 3104 / 3106；仅允许网关来源，禁止公网直连。核对真实代理层数；确保应用机容器可访问 RDS、ECom、OSS、模型服务 |
 | 运维：RDS | 在现有实例建独立 `friday_ai` 库和专用账号；当前 `pac` 用户没有 CREATEDB / CREATEROLE 权限。由有权限人员操作，不复用 PAC 数据库账号 |
 | 运维：备份 | PAC 发布前可恢复的 RDS 备份；AI 上线后同样纳入自动备份和恢复演练。三个大表索引已经建好；仍需确认上线后的 RDS 磁盘、IOPS 余量与发布窗口（本次没有云控制台权限核查） |
 | 业务 / ECom | 生产 API 地址、accessId、accessSecret、回调出口 IP、生产回调 URL 登记；确认凭据/回调能与测试隔离，不能把现有测试回调直接改成生产 |
 | 业务 / ECom | 首个验收企微号、收费/设备额度及归属企业；不能与本地/测试同时托管同一号，不能在重试时重复申请设备 |
-| 运维：OSS | 生产 region、私有 bucket、RAM 凭据；允许必要读写及签名下载，前缀 `friday-ai-prod`。不复制测试附件和密钥 |
-| 模型 | 生产模型 API Key、额度；代码默认阿里云兼容接口 / `qwen3.8-max`。需确认该账号有模型访问权限；换端点/型号时显式配置 |
+| 运维：OSS | 复用测试 region、bucket 与 AccessKey；生产前缀 `friday-ai-prod`，对象保持 private；确认授权覆盖新前缀、生命周期规则不误删生产附件 |
+| 模型 | 复用测试百炼 API Key 与 `qwen3.8-max`，两环境共享账号模型配额；上线前核实实际额度，测试避免批量压测 |
 | 实施：客户 | 集团名称、首位客户管理员姓名/手机号、首批诊所及对应 PAC 节点、企微绑定员工、席位数量和期限 |
 | 实施：平台 | 平台管理员姓名/手机号；生产使用正式资料，不默认复制测试的“小克”或本地账号 |
 
@@ -139,13 +139,13 @@ AI_ECOM_ACCESS_ID=<生产凭据>
 AI_ECOM_ACCESS_SECRET=<生产凭据>
 AI_INGRESS_TOKEN=<ingress.key内容>
 AI_TRUST_PROXY_HOPS=1
-AI_LLM_API_KEY=<生产模型密钥>
+AI_LLM_API_KEY=<与测试共用的模型密钥>
 AI_OUTBOX_WORKER=off
 AI_SCHEDULER=off
-AI_OSS_REGION=<生产region>
-AI_OSS_BUCKET=<生产bucket>
-AI_OSS_ACCESS_KEY_ID=<生产OSS凭据>
-AI_OSS_ACCESS_KEY_SECRET=<生产OSS凭据>
+AI_OSS_REGION=<与测试相同的region>
+AI_OSS_BUCKET=<与测试相同的bucket>
+AI_OSS_ACCESS_KEY_ID=<与测试共用的OSS凭据>
+AI_OSS_ACCESS_KEY_SECRET=<与测试共用的OSS凭据>
 AI_OSS_PREFIX=friday-ai-prod
 ```
 
@@ -243,13 +243,13 @@ ingress() { docker compose -p pac-ingress -f docker-compose.ingress.yml \
 
 | 生产域名 | 路由 | 上游 |
 | --- | --- | --- |
-| 确认后的 AI 域名 | `/api/`、`/health`、`/health/ready` | `http://172.16.4.239:3104` |
+| `fai.friday.tech` | `/api/`、`/health`、`/health/ready` | `http://172.16.4.239:3104` |
 | 同上 | `/` | `http://172.16.4.239:3103` |
-| 确认后的回调域名 | 仅 `POST /hook/ecom` | `http://172.16.4.239:3106` |
+| `fai.friday.tech` | 仅 `POST /hook/ecom` | `http://172.16.4.239:3106` |
 
-完整模板：`deploy/production/friday-ai-gateway.conf.example`；替换域名、证书路径并核对私网 IP。AI 行为与 `deploy/nginx/friday-ai-test.conf` 对齐，保留 API 原路径、SSE 关闭缓冲/缓存、HTTP/1.1、长连接读取超时、25m 上传上限；改域名/证书/上游 IP。不加阻止宿主 iframe 的 X-Frame-Options/CSP。AI 与 PAC 使用独立域名，保留 PAC 现有 server 不动。
+完整模板：`deploy/production/friday-ai-gateway.conf.example`；域名已固定，填写实际证书路径并核对私网 IP。AI 行为与 `deploy/nginx/friday-ai-test.conf` 对齐，保留 API 原路径、SSE 关闭缓冲/缓存、HTTP/1.1、长连接读取超时、25m 上传上限；改域名/证书/上游 IP。不加阻止宿主 iframe 的 X-Frame-Options/CSP。AI 与 PAC 使用独立域名，保留 PAC 现有 server 不动。
 
-回调 HTTPS server 中使用以下 location，其余路径默认 404。生产不开放 `/local/*`、`/status` 或调试观察台：
+在同一个 `fai.friday.tech` HTTPS server 中，精确匹配回调路径并直接转发到中转，不经过 AI 服务。生产不开放 `/local/*`、`/status` 或中转调试观察台：
 
 ```nginx
 location = /hook/ecom {
@@ -262,12 +262,17 @@ location = /hook/ecom {
     proxy_connect_timeout 2s;
     proxy_read_timeout 8s;
 }
-location / { return 404; }
+location = /local { return 404; }
+location ^~ /local/ { return 404; }
+location = /status { return 404; }
+location ^~ /hook/ { return 404; }
+# 页面仍由 Web 服务承接，完整配置见模板。
+location / { proxy_pass http://172.16.4.239:3103; }
 ```
 
 网关覆盖客户端自填来源头；如网关前还有 LB/CDN，须先准确恢复可信来源 IP，再按真实代理层数配置 AI。不能把网关 IP 加入 ECom 供应商白名单来“解决”鉴权失败。
 
-运维 `nginx -t` 成功后 reload；验证 HTTPS `/login`、`/health/ready`（JSON `status=ok`、`db=up`）及 PAC `/health`。ECom 回调必须等新中转就绪后再登记，保留测试 `relay.jarvismedical.asia` 的用途与配置。
+运维 `nginx -t` 成功后 reload；验证 HTTPS `/login`、`/health/ready`（JSON `status=ok`、`db=up`）及 PAC `/health`。ECom 生产回调登记为 `https://fai.friday.tech/hook/ecom`，必须等新中转就绪后再登记，保留测试 `relay.jarvismedical.asia` 的用途与配置。
 
 ## 10. 开户、组织、席位
 
@@ -346,7 +351,7 @@ install -m 644 deploy/production/friday-ai.logrotate /etc/logrotate.d/friday-ai-
 
 **运维须配置通知，否则日志不等于告警：** 云日志采集 `/var/log/friday-ai-health.log`，连续三次 `degraded` 或五分钟未收到记录告警；配置接收人。另用云拨测或独立探针主机每分钟请求生产 AI `/health/ready`，同时检查 `status=ok`、`db=up`，连续三次失败告警。监控 RDS 存储/IOPS/连接、应用机内存和证书到期。
 
-可复用 `deploy/health-watch.sh` 在另一台服务器运行：`WATCH_URL=https://<AI域名>`、`WATCH_PATH=/health/ready`、`WATCH_REQUIRE_DB=1`、`WATCH_NAME=friday-ai-prod`，私密配置通知 webhook，沿用该脚本的失败/恢复和每日心跳机制。不要覆盖现有 PAC 探针配置；生产域名未确定前不启用该探针。
+可复用 `deploy/health-watch.sh` 在另一台服务器运行：`WATCH_URL=https://fai.friday.tech`、`WATCH_PATH=/health/ready`、`WATCH_REQUIRE_DB=1`、`WATCH_NAME=friday-ai-prod`，私密配置通知 webhook，沿用该脚本的失败/恢复和每日心跳机制。不要覆盖现有 PAC 探针配置；DNS、证书和服务验收完成后再启用该探针。
 
 服务器巡检覆盖进程内故障和积压，外部拨测覆盖主机/代理不可达，两者均不依赖开发电脑。用受控验收演练验证通知实际到达，再开放业务。
 
@@ -358,6 +363,6 @@ install -m 644 deploy/production/friday-ai.logrotate /etc/logrotate.d/friday-ai-
 - 中转独立更新：第 8 节中转段；仍有自身重启窗口，预先核对供应商重试策略。
 - 回退先保存部署 SHA、运行镜像 ID、配置备份、迁移记录及队列状态，由开发确认旧镜像兼容已迁移 schema，再切旧镜像；不得直接 git reset / Prisma reset 或整库恢复。
 - AI 与中转共用 `friday_ai` 库。AI 停止时中转仍在写，整库恢复会覆盖备份后已向 ECom 确认的消息；必须先保全队列及 AI 回执，再制定恢复步骤。
-- 本次生产初始化不复用测试数据库、用户、企微设备或密钥；不改既有 PAC 宿主授权，不部署自动回写服务。
+- 本次生产初始化不复用测试数据库、用户、企微设备或内部服务密钥；仅 OSS 和模型 API 凭据按已确认方案共用；不改既有 PAC 宿主授权，不部署自动回写服务。
 
 交付记录：发布 SHA、各镜像标签/ID、RDS 备份 ID、迁移结果、域名/证书、开户/席位编号、功能开关、真实读取/隔离/消息补发验收、已知限制。未使用的步骤汇总能力已撤掉，不执行回填。凭据单独交付。

docs/friday-ai-production-handoff.md

-# FridayAI 首次生产上线：运维交接单
+# FridayAI 生产上线：运维协助清单
 
-应用机 `ssh pac-friday`，源码 `/data/pac`，分支 `main`。PAC 已运行；FridayAI 和中转尚未上线。详细命令见 [生产部署步骤](friday-ai-production-deployment.md)，执行证据见 [准备记录](qa/2026-10-10-production-readiness.md)。
+## 项目与环境
 
-## 已准备
+仓库：<https://code.jwsmed.com/ai-tools/pac>（PAC / FridayAI 单仓库）。
 
-- 生产发布脚本、远端网关端口覆盖、独立中转部署和配置预检。
-- 服务器健康/队列巡检、cron 与日志轮转模板；不依赖开发电脑。
-- 生产专用 JWT 私钥、读取密钥、中转密钥、数据库应用密码及 env 草稿，位于应用机 `/data/pac-ops/readiness-20261010/config/`，尚未激活。
-- PAC 三个大表索引已于 2026-10-10 01:55 建成并验证有效，合计约 2.73 GiB；5i5ya 诊所名称字典已补齐 66 条。正式发布仍需运行七条迁移登记，已建索引会跳过重复创建。
-- 未使用的治疗步骤汇总功能已移除，不需要回填或全量重算患者。
+| 环境 | 应用服务器 | 代码目录 / 分支 | 域名 |
+| --- | --- | --- | --- |
+| 生产（本次操作） | `47.99.62.30:3335`；私网 `172.16.4.239` | `/data/pac` / `main` | 新增 `fai.friday.tech`；现有 PAC 为 `pac.friday.tech` |
+| 测试（仅供参考） | `47.251.104.47:19822` | `/root/pac` / `test` | `fai.jarvismedical.asia`；回调 `relay.jarvismedical.asia` |
 
-## 请运维处理
+生产 Nginx 在现有独立网关，**不在应用服务器上**。沿用 `pac.friday.tech` 的网关（现有入口 `lb1.friday.tech`，公网 `47.98.152.240`）；请运维核对网关实例后配置。
 
-| 项目 | 运维执行 / 提供 | 验收 |
-| --- | --- | --- |
-| RDS | 备份 PAC 并登记恢复点；确认磁盘/IOPS；执行 `deploy/production/friday-ai-database.sql` 建独立库和账号，在新库安装两个扩展 | 新应用账号可迁移 `friday_ai`；UTF8、UTC；不改 PAC 时区 |
-| 数据库密码 | 安全交付专用应用账号密码，或使用已生成的 `database.key` 设置 | 两份 env 中 URL 一致；不需要交出 RDS 管理账号 |
-| 域名/证书 | 确认 AI 和回调的生产域名，配置 DNS、证书 | HTTPS 正常；不覆盖 PAC 域名 |
-| 网关/防火墙 | 按 `deploy/production/friday-ai-gateway.conf.example` 配置；仅网关访问应用机 3103/3104/3106 | API、SSE、上传可用；回调域名只开放 POST `/hook/ecom` |
-| OSS | 生产私有 bucket、region、应用 RAM 凭据 | 生产附件上传及签名下载成功 |
-| ECom | 生产 API 凭据、回调出口 IP；登记独立生产回调 | 测试回调保持原样；生产无本地分流 |
-| 模型 | 生产 API Key 和模型访问额度 | 测试调用成功 |
-| 告警 | 采集巡检日志；连续三次异常或五分钟缺日志告警；外部拨测；登记接收人 | 受控演练可收到告警和恢复通知 |
+## 1. RDS：新建库和专用账号
 
-业务还需提供：集团正式名称、首位管理员姓名/手机号、平台管理员资料、首批诊所/员工范围、批准的席位数量/期限、专用验收企微号。先接 5i5ya：`partner=jvs-dw`、`partnerTenant=ruier-grp`；无需提供其 PAC appSecret，不创建 Friday SaaS 生产租户。
+实例：`fridaypac.pg.rds.aliyuncs.com:5432`（现有 PAC 使用的 PostgreSQL 实例）。
 
-## 实施顺序
+用 RDS 管理账号连接 `postgres` 库，执行以下 SQL；`CREATE DATABASE` 不放在事务中：
 
-1. 核对准备记录和索引状态；确认 RDS 备份、网关限制、所有生产配置已齐。
-2. 备份现有配置和镜像记录；`main` 快进到本次经过测试的 SHA，保护现有未跟踪文件。
-3. 补全 env 草稿、安装配置和私钥；PAC/AI 使用同一服务读取密钥。
-4. `COMPOSE_MANAGED=1 bash deploy/deploy-prod.sh --no-pull` 升级 PAC，核验七条迁移及真实读取；不首灌、不回填、不全量重算。
-5. `COMPOSE_MANAGED=1 bash deploy/deploy-ai.sh production --no-pull`。
-6. `COMPOSE_MANAGED=1 bash deploy/deploy-ingress.sh production`；检查健康，启用网关和巡检。
-7. CLI 开户，配置组织/员工范围及席位；验收 5i5ya 患者数据和诊所隔离。
-8. 先开 worker、后按业务确认开 scheduler；专用号验收收发/图片/文件及 AI 停服补投，再开放正式业务。
+```sql
+CREATE ROLE friday_ai LOGIN;
+CREATE DATABASE friday_ai OWNER friday_ai TEMPLATE template0
+  ENCODING 'UTF8' LC_COLLATE 'C' LC_CTYPE 'en_US.utf8';
+ALTER DATABASE friday_ai SET timezone TO 'UTC';
+```
 
-**生产发布仍有短暂停服；本次没有承诺零停机。** 中转保护 AI 停服期间已持久接收的回调，不覆盖中转、主机或数据库自身故障。首次上线不能照搬测试账号、设备或密钥。
+随后**切换连接到 `friday_ai` 库**，执行：
+
+```sql
+CREATE EXTENSION IF NOT EXISTS pgcrypto;
+CREATE EXTENSION IF NOT EXISTS btree_gist;
+```
+
+- 用 RDS 控制台/DMS 设置 `friday_ai` 密码，或在 psql 中执行 `\password friday_ai`；通过安全渠道交付密码。
+- 账号需拥有该库及 `public` schema 建表、索引、约束和读写权限；仅使用 `friday_ai`，不复用 `pac` 账号。
+- 确认应用机 `172.16.4.239` 可连接该实例。
+- 不改现有 `pac` 库、账号及实例全局时区。若库或账号已存在，核对后补齐权限，不删除重建。
+- 发布前确认 PAC 可恢复备份和恢复点、RDS 磁盘/IOPS 余量；新库纳入自动备份。
+
+SQL 文件：[friday-ai-database.sql](../deploy/production/friday-ai-database.sql)（扩展语句须切换库后执行）。
+
+## 2. 域名、证书与网关
+
+1. 新增 `fai.friday.tech` 的 DNS，指向现有生产网关；申请 HTTPS 证书并配置自动续期。
+2. 在网关新增独立站点，使用 [friday-ai-gateway.conf.example](../deploy/production/friday-ai-gateway.conf.example)，替换两处证书路径。
+3. 配置网关到应用机的网络放行：仅允许网关访问 `172.16.4.239` 的 TCP `3103 / 3104 / 3106`，不开放公网直连。
+4. 执行 `nginx -t`，通过后 reload；保留现有 PAC 和测试站点配置。
+
+模板已包含以下转发规则，请完整保留：
+
+| 路径 | 上游 |
+| --- | --- |
+| `/` | `http://172.16.4.239:3103` |
+| `/api/`、`/health`、`/health/ready` | `http://172.16.4.239:3104` |
+| 仅 POST `/hook/ecom` | `http://172.16.4.239:3106` |
+
+模板已配置 SSE 禁用缓冲、长连接超时和上传限制，并禁止访问中转调试/管理路径。若网关前还有其他代理，请告知代理层数和真实来源 IP 的传递方式。
+
+应用部署完成后共同验收：`https://fai.friday.tech/login` 可打开；`/health/ready` 返回 HTTP 200 且包含 `status=ok`、`db=up`。应用未启动前上游暂不可用属预期，正式切换回调由我们协调。
+
+## 3. 接入现有监控告警（应用上线后启用）
+
+- 采集应用机 `/var/log/friday-ai-health.log`：连续三条 `degraded`，或五分钟无新日志时通知负责人。
+- 外部拨测 `https://fai.friday.tech/health/ready`：每分钟一次，连续三次失败告警，检查 HTTP 状态和上述 JSON 字段。
+- 纳入主机内存/磁盘、RDS 存储/IOPS/连接数、证书到期监控，配置异常及恢复通知。
+
+## 完成后反馈
+
+- 新库/账号已就绪、密码已安全交付、备份恢复点。
+- DNS、证书、网关配置完成，网络规则已放行；有额外代理时说明。
+- 告警接收人及通知渠道。

docs/friday-ai-test-deployment.md

@@ -5,6 +5,7 @@
 - 服务器：`ssh -p 19822 root@47.251.104.47`。
 - 源码：`/root/pac`，分支 `test`；feature 合入 test，验证通过后再由 feature 合入 main。
 - 域名：`https://fai.jarvismedical.asia`；Web 3103、API 3104，仅发布到主机 loopback。
+- 测试发布不设置 `COMPOSE_MANAGED`（或设为 `0`）；误设为 `1` 会在构建、迁移和重启前被拒绝。
 - 使用 Docker Compose；Node、pnpm 随镜像提供，不安装主机运行时，不使用 systemd。
 - PAC 已有 `pac_default` 网络及 PostgreSQL；AI 使用独立 `friday_ai` 库、独立 `pac-ai` Compose 项目。
 

docs/qa/2026-10-10-production-readiness.md

@@ -55,6 +55,6 @@
 
 ## 运维交付
 
-按 [生产部署](../friday-ai-production-deployment.md) 实施。需要运维执行的 SQL、网关、cron、日志轮转模板在 `deploy/production/`。待提供：生产域名/证书，专用数据库账号，ECom/OSS/模型生产配置，告警接收人，首个集团/管理员/诊所/席位信息。无需交付 RDS 管理账号。
+按 [生产部署](../friday-ai-production-deployment.md) 实施。需要运维执行的 SQL、网关、cron、日志轮转模板在 `deploy/production/`。后续已确定 AI 与回调共用 `fai.friday.tech`，OSS 和模型凭据复用测试配置（OSS 生产前缀 `friday-ai-prod`）。待提供/落实：该域名 DNS/证书，专用数据库账号，ECom 生产配置及共用资源权限/额度核验，告警接收人，首个集团/管理员/诊所/席位信息。无需交付 RDS 管理账号。
 
 生产准备工具已验证后合入 main `ad25aed`、test `938dff5`；本次收尾仅更新完成记录及运维步骤，不更改应用代码。临时索引/字典任务已退出，收尾自动化在文档同步完成后停用。