docs(GOV-009): 明确应用脚手架设计边界

docs/features/GOV-009-application-scaffold-baseline/test-plan.md

@@ -0,0 +1,28 @@
+# 测试计划
+
+## 自动化
+
+- Node 22 与 pnpm 10 版本门禁测试。
+- Web 与 Server 配置键、敏感值脱敏和条件必填测试。
+- Web 禁止导入 Server 源码的边界测试。
+- OpenAPI 生成与漂移检测测试。
+- API、Scheduler、Worker 独立启动与关闭测试。
+- Redis/MySQL/RocketMQ disabled 健康状态测试。
+- RocketMQ 消息信封版本、幂等键和载荷校验测试。
+- Schema 固定远程白名单、未知远程拒绝和 `api.env.local` 优先级测试。
+- Schema 空库 captured 清单、摘要和历史目录不可覆盖测试。
+- Web、Server 类型检查、单元测试和生产构建。
+
+## 真实环境冒烟
+
+- Redis `127.0.0.1:6379` 的 DB 0、1、2 分别只读 PING。
+- 固定开发 MySQL 验证认证、5.7 服务端、数据库名、字符集、排序规则和 `+08:00` 会话时区。
+- RocketMQ 验证 NameServer、Broker 和 Proxy 可达；不创建 Topic，不发送消息。
+- 浏览器访问 Web 与 API 健康检查，无控制台阻断错误。
+
+## 安全检查
+
+- Git 跟踪文件不得包含本地密码、开发库凭据、AI Key 或生产地址。
+- Web 构建产物不得包含 Server env 键或消息契约。
+- 连接错误和测试日志不得输出密码。
+