记录新候选部署及旧证书负向恢复并汇总当前进度

doc/Linux生产流程测试记录.md

@@ -1,4 +1,32 @@
 # Linux 生产流程测试记录
+## 新 DNS 候选部署与旧有效证书负向恢复（2026-09-30 22:05）
+
+本轮为保留数据升级复测，不是清库首次生产验收。没有新增辅助验收脚本，没有关闭 TLS 或 SSH 身份验证；通过现有密码 SSH 会话运维。
+
+### 正式包和部署
+
+- 源码：91e1123fa688ac3660b0c8d0276ee562c3ef9a79，source_dirty=false；规范构建记录后端 549、前端 105 个文件换行检查，23 项清单与 22 个归档文件核对通过，五个执行入口权限 0755。
+- 归档 SHA256：7b84e363db748be19a6c932c9cd4d4cd9fc3a409f3d67c3763310e1d8eaeb49f。
+- 主程序 SHA256：7e3f07ab9998a43e6d0a3f647026c994e896af93a62ebe717061352e6fce5deb。
+- 21:55 后在新目录解包并通过 SHA256SUMS，停止主服务和目录 socket 后执行包内 install-linux.sh，再启动服务；线上程序哈希一致。安装器自行保留旧发布文件，未额外制作备份。
+- Scert.service、Scert-storage.socket、nginx 均 active；公开 readyz 返回 ready，管理入口 200；浏览器忽略缓存刷新后重新登录成功。
+
+### DNS 与旧证书负向
+
+- 21:58 产品权限检查连续四次全部返回 200，报告 verified、writable、readable、cleanup 均为 true，随机后缀均为三十六位小写十六进制。该有限样本不证明所有网络超时已经消失。
+- 22:00 临时将产品服务器重载参数设为 /usr/bin/true，配置校验仍为 nginx -t；22:01 通过正式页面申请同域新生产证书。
+- ACME 复用已有有效授权，返回新证书；此次没有重新执行 DNS-01 挑战，不能把它算作新挑战全流程。DNS 写读清理由前述权限探测独立证明。
+- 负向任务 d08caabd-ac44-4902-beea-a36f4f3d860c，尝试 9e23e034-0507-4b43-a3e9-91b99dac4469 均 failed；申请接口 502，页面显示“证书申请或部署失败”和域名错误。
+- 新托管版本 20260930-V1.1 和目标文件指纹为 5DE99CD681FB8A84745CE4ED6091D76A7B86616421B3048D3C42844B8A4460ED；公网仍为 9A50D4A0E551EC728D4900E595029C52B4F5EDC9E24B518F123646289101FC53，worker 仍为 81412、81413。
+- 服务日志明确六次 HTTPS 校验后仍为指纹不一致，而不是 DNS 或连接失败。旧有效证书未被判为本次部署成功。
+
+### 恢复与边界
+
+- 22:02 已通过产品接口恢复 nginx -s reload，再通过正式页面“部署证书”；任务 ed7770b0-bf23-41c9-b556-972d125c25cd 为 success，页面明确一台推送成功、站点 HTTPS 校验通过。
+- worker 更新为 82219、82220；公网、目标、托管指纹均为上述新指纹；正常 TLS 的站点访问返回 200，无 .scert-* 残留。
+- 本次证明后置 HTTPS 错误检测与恢复正常配置后重新部署，不证明自动运行态回滚；申请失败页面的通用错误尚未提供阶段诊断，不提前标记可观测性完整通过。
+- 多域名、多服务器、任务恢复、数据库矩阵和最终清库首次初始化仍需完成。
+
 ## DNS 标签整改本地验证（2026-09-30 21:48）
 
 - 修改前检查点 0864300 已推送。新增正式回归在旧代码下全部失败：随机后缀不是规定的三十六位安全编码，InvalidRR.Format 被误归入网络或权限通用提示。

doc/Scert整改任务执行清单.md

@@ -1,4 +1,17 @@
 # Scert 整改任务执行清单
+## 当前任务看板（2026-09-30 22:05）
+
+需求确认：沿用已确认完整整改范围；新包正式安装、DNS 复测、旧证书负向与恢复、单机多域名依次推进，不缩减多服务器、数据库和最终首次流程验收。修改前检查点 7d0ce94 已推送。下方各时间章节保留为历史证据，当前状态以本节为准。
+
+- [x] 91e1123 干净源码正式构建和清单核对完成，密码上传完成；正式安装器部署，线上主程序哈希一致，服务及重新登录正常。
+- [x] 产品 DNS 权限检查连续四次返回 200，三十六位十六进制随机记录名、写入、读取、清理均成功；不以失败重试充当连续成功。
+- [x] 正式页面申请新证书完成签发；无操作重载时公网仍提供旧有效证书，六次身份校验后任务和尝试失败，页面没有误报成功。
+- [x] 已恢复 nginx 正常重载，通过正式页面部署已有证书成功；新公网、目标、托管指纹一致，Nginx worker 更新，HTTPS 正常。
+- [~] 单机多域名复用同一服务器；继续核对互不覆盖、独立路径及部署结果。
+- [ ] 任务中断和重启恢复、三数据库矩阵、Linux 原生构建及 Windows 服务验收。
+- [ ] P0-12 备份恢复和其余既定整改门禁；最终清库、清缓存、完整首次生产流程。
+- [!] 第二台真实服务器缺失，不能用同机多条记录替代；后置 HTTPS 校验失败没有自动运行态恢复证据。
+
 ## 当前阻塞修复（2026-09-30 21:45，随机 DNS 探测记录名）
 
 需求确认：修复真实申请链中随机探测记录名格式错误，不绕过权限验证；补正式回归、重建部署并复测，随后继续 HTTPS 身份与多域名验收。

doc/Scert整改合并优化清单.md

@@ -1,4 +1,17 @@
 # Scert 整改、合并与优化清单
+## 当前验收总览（2026-09-30 22:05，以本节为准）
+
+下方带时间的进度为历史证据，不代表当前阻塞位置。P0-03 已按源码与产物边界范围复审通过，不再使用历史“仍停在 P0-03”作为当前结论。完整整改及生产验收仍未完成，不承诺当晚放行。
+
+- [✓] P0-03 源码与产物边界局部复审保持通过；不扩大为其他 P0 项目通过。
+- [x] 最新运行候选已更新为 91e1123：规范干净源码构建，归档和远端主程序校验一致，正式安装器升级，主服务、目录 socket、管理页面登录正常。
+- [x] 新版 DNS 权限检查连续四次全部完成写入、读取和清理，记录名均为三十六位小写十六进制后缀；正式页面再次申请生产证书成功取得新证书。
+- [x] 同域旧有效证书负向实机验证完成：目标文件为新指纹，公网仍为旧指纹、Nginx worker 未变；任务和尝试均失败，页面显示错误，日志明确六次校验后指纹仍不一致。
+- [x] 恢复正常重载命令后，通过正式页面部署已有新证书成功；托管文件、目标文件和公网新指纹一致，HTTPS 返回 200，域名恢复正常，无残留部署锁。
+- [~] P0-04、P0-10 等整项继续进行；本次证明失败检测与人工修正后重新部署，不证明后置 HTTPS 失败自动恢复运行态。证书申请失败页面仍只显示通用错误，诊断可读性待改善。
+- [ ] 后续仍需单机多域名、真实多服务器、任务中断恢复、三数据库、Linux 原生构建、Windows 服务及其他既定门禁。
+- [!] 第二台真实服务器仍缺；本轮是保留现场的升级和负向复测，没有清库，不能替代最终清库、清缓存和完整首次生产初始化。
+
 ## 最新阻塞整改（2026-09-30 21:48，DNS 探测随机标签）
 
 - [x] fc57b8e 已实机正常部署；重载执行后返回失败时文件回滚，恢复正常命令后再次部署成功，详细边界见 Linux 测试记录。