docs: record quality release evidence

2026-08-28 15:00:01 +08:00
parent 226527f1ce
commit 3834d67a30
1 changed files with 7 additions and 0 deletions
@@ -4120,3 +4120,10 @@ git diff --check
 - 引入ESLint flat config、Prettier和实际增量文件门禁；`packageManager`固定为与测试环境一致的npm 10.9.4，正式提交仍只维护根目录/API两份`package-lock.json`。历史受保护的未跟踪`pnpm-lock.yaml`和空文件`=`保持原状且不纳入提交。
 - 重新审计API依赖并将9项公告降至5项：Swagger、`js-yaml`、`fast-uri`和`brace-expansion`安全升级完成；剩余5项属于Prisma CLI同一开发/迁移链，唯一自动方案为破坏性降级Prisma 7至6，未执行`audit fix --force`。逐项路径和运行时判断见`docs/api-dependency-advisory-matrix-20260828.md`。
 - 本地前后端TypeScript、Vite生产构建、bundle budget、Gateway全包测试与`go vet`、95项Prisma schema、代码质量、安全部署及依赖缓解门禁均通过。按方案明确排除全局ValidationPipe一次性切换、强制audit修复、ECharts替换和SendChain高风险重构；发布与真实环境证据在后续条目补齐。
 - 实施提交为`ad27acad7e02b787185c972c710c73c867429c36`，随后以`226527f1cef122e4dbd163da782485e8c0254dc5`将jsdom降至兼容测试机Node 22.21.1的29.1.1，并用测试机同版npm 10.9.4重新生成两份lock。两项目`npm ci --dry-run --include=dev`、前端34项覆盖测试和API正式编译再次通过。向`origin/main`推送时远端Git服务拒绝当前凭据，故本地提交完成但远端未推送，未以部署成功冒充push成功。
 - 第一次发布前恢复点`/opt/cmpp-platform-backups/code-quality-continuous-20260828T063123Z`约651MB且全部校验通过。首次覆盖在根依赖安装后、迁移/构建/重启前被npm 10发现API lock缺少可选依赖并安全停止；旧部署标记保持`fc4a6a7...`，11项服务、API和Gateway健康，没有进入迁移或重启阶段。
 - 修正后重新建立第二套恢复点`/opt/cmpp-platform-backups/code-quality-continuous-20260828T064405Z`约671MB，重新包含并校验PostgreSQL custom dump、当时运行目录、环境/systemd/Nginx、Redis RDB、三条Stream状态、MinIO对象清单、原部署标记和95项迁移。两套恢复点的SHA-256、`pg_restore --list`、tar目录与Redis RDB均通过，未复用第一次资产冒充第二次发布前基线。
 - 最终发布包`outputs/cmpp-quality-226527f-20260828T0646Z.tar.gz`为2596543字节，本地/服务器SHA-256均为`e05f81798e4bbffc0b07ce6f30d10102f650bd50e23f26bb331fcb1708984de3`。测试环境部署标记为`226527f1cef122e4dbd163da782485e8c0254dc5`，95项迁移无待执行项。
 - 发布后API、Send Worker、Submit Outbox、Gateway Callback、Protocol Log Worker、Gateway、Security Agent、MinIO、Nginx、PostgreSQL和Redis全部active；API/Gateway健康、Redis PONG，`gateway.submit.commands`、`gateway.submit.results`和`gateway.protocol.logs`均`pending=0/lag=0`，发布窗口error级日志0。Prometheus已暴露新的认证保护指标，临时发布/校验脚本已清理。
 - 工作站显式`curl --noproxy '*'`验证首页、客户端登录、运营端登录、API健康和客户端验证码接口均HTTP 200。Chrome真实加载客户端和运营端登录页，客户端显示“返回官网”，页面资源为`index-BvZGIM6l.js/index-DyAqoJbu.css`，两页控制台error/warning均0；未输入密码或代解验证码，登录后页面继续作为人工验收边界。
 - 全程只操作测试环境`100.93.204.60`，未访问、回退、覆盖或部署预生产`8.160.169.106`；未发送、补发或重投短信，未修改余额、应用、通道或客户连接。