diff --git a/docs/testing-progress.md b/docs/testing-progress.md
index 98e4ff1..289165b 100644
--- a/docs/testing-progress.md
+++ b/docs/testing-progress.md
@@ -2164,3 +2164,15 @@ git diff --check
 - 浏览器证据覆盖上传页和日志导出页五视口、签名确认层五视口截图，以及模板确认层1440×900截图和390×844 DOM尺寸测量；两端console error/warn为空。证据位于测试项目`平台LG_UIUX二轮走查证据/整改_A2_A3收口_20260722/`。
 - 自动化通过：files、operations、review-governance 3 suites / 31 tests；前端build、API build、Prisma validate/status（58条、schema最新）和`git diff --check`。前端仍有约1.92MB单chunk告警，项目无独立前端lint/组件/axe脚本。
 - 客户端日志列表仍展示内部详情/IP，继续归`LG2-P1-07`，未因导出安全而标记完成。临时数据、MinIO对象和Redis会话已清理；未触碰生产，未提交、未push、未部署。
+
+## 2026-07-22 工作区汇总提交与生产发布（`0f223f7f`）
+
+- 按用户授权汇总提交当前全部有效平台源码、migration、测试、依赖锁文件和项目文档，共80个文件、4959行新增和765行删除；功能提交为`0f223f7f91d1bd24e7a2cc0ce6ce9ae3e3258b10`（`feat: harden platform workflows and UI governance`），已push至`origin/main`。按仓库约束未提交`api/tsconfig.build.tsbuildinfo`和任何`.log`；独立的`outputs/phone-prefix-area-code-20260721/`为号码地区表生成交付物而非平台运行源码，未纳入生产提交。
+- 发布前发现API锁文件中的Prisma 7.8开发依赖链产生6个审计漏洞，且`api/package.json`存在重复`overrides`键。已将`@prisma/client`、`@prisma/adapter-pg`和Prisma CLI同步升级至7.9.0，移除过时Hono强制版本并合并override；干净`npm ci --include=dev`后根目录和API的`npm audit --audit-level=low`均为0漏洞。Prisma Client 7.9.0生成、schema validate及本地58条migration status均通过。
+- 本地发布门禁：API全量24 suites / 282 tests通过，API TypeScript build、前端TypeScript/Vite build、Gateway `go test ./...`、Prisma generate/validate/migrate status和`git diff --check`通过。Jest断言完成后仍需`--forceExit`结束既有异步句柄；前端仍有约1.92MB单chunk警告，继续归入后续性能整改，不虚报解决。
+- 部署前生产PostgreSQL、运行源码和环境配置备份至`/opt/cmpp-platform/backups/releases/20260722-142102`。数据库备份`postgresql.sql.gz`为4396893字节、SHA-256 `598e0b624b69c85f707a5c8f769a00fe2118f44e1491f872aa62e1f72d43890f`；源码备份`runtime-source.tar.gz`为28537401字节、SHA-256 `552633474c7888eb2c1a17902430fa385054ef7f5b5e654faf3e2934e94caec4`；环境备份`cmpp-platform.env`为850字节、SHA-256 `189f4f67e9d52f3c1ce751d1005c08667b1b4efcd0c576aaa5ad3249c822e4e7`。三份文件均非空、权限600，数据库gzip和源码tar完整性校验通过。
+- 发布包由提交快照生成，本地与服务器SHA-256均为`4aa2188b943885d73558b8e04014fd559d421981071cbcddca72ba379780478e`。使用`tools/deploy/production-deploy.sh`完成部署，成功应用`20260721150000_backfill_misattributed_delivery_receipts`，生产58条migration齐全且schema最新；脚本按Gateway在前、API在后的顺序重启并恢复运行状态。生产`.deployed-commit=0f223f7f91d1bd24e7a2cc0ce6ce9ae3e3258b10`。
+- 发布后`cmpp-gateway`、`cmpp-api`、Nginx、PostgreSQL、Redis（实际unit为`redis`）和MinIO均active，`12026/17890/8090/3000/9000/6379/5432`监听；API/Gateway health、Redis PONG、PostgreSQL readiness均通过。两个active上游通道`CH-1783566107506`、`CH-1783566107506-COPY-MRCXAK2W`均恢复为`connected/currentConnections=1`，Redis中7个通道权威TPS配置存在；`gateway.submit.commands`的`cmpp-gateway` consumer group为`pending=0、lag=0`。
+- 服务器本机及外部访问首页、运营登录、客户端登录和API health均返回HTTP 200，公网CMPP `8.160.169.106:17890` TCP连接成功。生产根目录/API依赖audit均为0；部署后20分钟内API和Gateway journal error均为0，API近期stderr错误匹配为0。
+- Browser真实打开生产客户端登录页`/#/client/login`，页面标题为“聆界短信管理平台”，Logo、用户名、密码、图形验证码和登录按钮完整渲染，DOM非空、无框架错误层，页面console error/warn为0并取得截图。空表单登录按钮交互在Browser控制层两次超时并触发连接重置，因此本次仅将生产页面渲染烟测记为通过，不虚报登录交互通过；未输入或传输账号密码。
+- 本次未发送或重投真实短信，未充值、审核、删除、禁用账号、改密或修改真实通道配置。生产业务数据变更仅来自已审查并随发布执行的历史回执确定性回填migration。