docs(GOV-009): 封存 GOV-009 与 GOV-010 架构基线

docs/features/GOV-009-application-scaffold-baseline/design.md

@@ -91,6 +91,19 @@ Server 数据访问使用 Nest 官方 `@nestjs/typeorm` 集成、TypeORM 和 `my
 - Web 与三个 Server 入口执行真实构建验证；源码发布门禁同时核对 systemd 和 Nginx 模板。
 - E2E 在启动 API 前只读检查现有本机 Redis；不可达时明确失败，不启动替代基础设施。
 
+## 安全策略与评估
+
+- 配置按 API、Scheduler、Worker 最小权限拆分，生产只由 systemd `EnvironmentFile` 注入；Web 只允许公开的 `VITE_` 变量进入构建产物。
+- Schema 工具硬编码开发环境、固定库名和主机白名单，密码只通过子进程环境传递；本功能禁止连接、探测或读取生产数据库。
+- Redis/MySQL 健康检查和启动错误只返回脱敏状态；RocketMQ 未验证时明确禁用，不以进程内队列伪降级。
+- OpenAPI 契约、Web/Server 源码边界和消息契约隔离由自动门禁验证。残余风险是 RocketMQ Node 客户端和真实行情数据源尚未接入，必须在各自功能中重新做依赖与安全评估。
+
+## 性能目标与评估
+
+- 脚手架目标是保持 Web 和三个 Server 进程可独立构建、启动和扩容；根 workspace 只编排质量命令，不进入生产运行时。
+- 健康检查只执行有限的 Redis/MySQL 只读操作，禁止自动重试风暴；Scheduler 与 Worker 采用独立进程，避免任务执行阻塞 HTTP API。
+- OpenAPI 和边界扫描只在开发、测试和发布阶段运行，不增加线上请求路径开销。当前尚无行情吞吐、数据库查询或消息积压业务，因此不伪造业务性能指标；后续功能必须按刷新周期、数据量和延迟重新设定基线。
+
 ## 回退原则
 
 GOV-009 不迁移业务数据。回退时恢复上一 Git 标签即可移除脚手架；本地 `*.env.local` 和基础设施数据不随 Git 回退。若 Schema 工具变化失败，恢复旧工具后仍保留已发布基线，禁止改写历史目录。