build(GOV-009): 对齐应用部署与运行入口

docs/deployment/docker-compose-production.md

@@ -1,19 +1,32 @@
 # Docker Compose 生产部署
 
-生产 Docker Compose 使用不可变应用镜像和外部 env 文件。当前 `production.yml.example` 是部署契约骨架，应用镜像、健康检查和实际启动命令必须在 Web/Server 脚手架完成后验证，未验证前不得用于线上部署。
+生产 Compose 部署使用两个不可变镜像：Web 静态 Nginx 镜像，以及同时包含 API、Scheduler、Worker 三个入口的 Server 镜像。MySQL 5.7、Redis 与 RocketMQ 5.x 由运维独立管理，不进入应用 Compose 生命周期。
 
-## 配置边界
+## 构建与配置
 
-- 从 `deploy/env/production/` 准备四份真实配置，存放在服务器 `/etc/a-share-analysis/` 或其他受控目录。
-- Compose 通过外部路径加载，不在 YAML、镜像和 Git 中保存秘密。
-- 镜像引用必须包含版本或内容摘要，禁止浮动 `latest`。
-- 第一阶段只依赖 Redis；MySQL 和 RocketMQ 5.x 功能开关保持关闭。
-- 启用 RocketMQ 时优先连接受运维管理的外部集群或独立基础设施 Compose，不把 NameServer、Broker、Proxy 混入应用发布生命周期。
+构建期只能给 Web 注入公开变量，生产秘密不得使用 `ARG`、写入镜像或提交仓库：
 
-## 发布与回退
+```bash
+docker build -f web/Dockerfile -t registry.example/a-share-web:<提交SHA> .
+docker build -f server/Dockerfile -t registry.example/a-share-server:<提交SHA> .
+```
 
-部署前验证镜像对应已推送提交或标签、环境 Schema、健康检查和数据目录。升级只修改不可变镜像引用；失败时恢复上一完整镜像集合和未改变的外部配置。禁止删除 Redis、MySQL 或 RocketMQ CommitLog 数据目录作为应用回退手段。
+把四份生产模板复制到服务器的 `/etc/a-share-analysis/`，由运维填写并设置最小权限。Web 配置在镜像构建期固化，因此 `web.env` 只作为发布参数记录，不挂载到容器；API、Scheduler、Worker 分别读取自己的外部 env 文件。所有镜像引用必须使用明确版本或内容摘要，禁止 `latest`。
 
-## 验证
+## 发布与验证
 
-应用脚手架落地后必须补充 `docker compose config`、服务健康检查、日志读取、优雅停止和回退演练证据。本版本不声称生产 Compose 已可运行。
+```bash
+export A_SHARE_WEB_IMAGE='registry.example/a-share-web@sha256:<摘要>'
+export A_SHARE_SERVER_IMAGE='registry.example/a-share-server@sha256:<摘要>'
+docker compose -f deploy/compose/production.yml.example config
+docker compose -f deploy/compose/production.yml.example up -d
+docker compose -f deploy/compose/production.yml.example ps
+curl --fail http://127.0.0.1:3000/api/v1/health
+curl --fail http://127.0.0.1:8080/
+```
+
+当前工程尚无业务表迁移；出现 TypeORM migration 后，发布必须在启动应用前用同一 Server 镜像执行迁移，且始终禁止 `synchronize: true`。RocketMQ Node 客户端在后续功能验证前保持关闭。
+
+## 回退
+
+保留上一组 Web/Server 内容摘要。失败时把两个镜像变量恢复到上一组，重新执行 `config`、`up -d` 和健康检查。外部 env、Redis、MySQL 数据与 RocketMQ CommitLog 不随应用镜像回退；禁止用删除数据目录的方式回退应用。