记录新候选实机恢复证据并开始修复随机探测记录名

doc/Linux生产流程测试记录.md

@@ -1,4 +1,24 @@
 # Linux 生产流程测试记录
+## 重载失败恢复与新增 DNS 阻塞（2026-09-30 21:45）
+
+- 21:33 正式页面部署已有证书成功，报告 status=success、verification_status=success，任务 fe00eb0d-dba8-400e-8c8a-852ab4abb451；页面区分推送与 HTTPS 验证。
+- 21:38 通过服务器配置将重载命令设为 sh、-c、nginx -s reload && /usr/bin/false；不是新增辅助脚本。任务 76fd45fe-4495-4ae0-999a-c9107a274243 失败，Nginx 工作进程从 81047/81048 换为 81183/81184，证明重载已实际执行。
+- 三个原文件 inode 2580557/2580558/2580559、大小、校验和与 644/644/600 权限恢复一致，无临时文件或锁；网站正常 TLS 返回 200。此处部署内容与原内容相同，仅证明文件回滚及错误状态，不证明新旧证书切换后的自动运行态恢复。
+- 21:40 恢复正常重载命令并通过页面重新部署，任务 c0f2ad2c-7bdf-4ebc-8c93-71fe831c1869 成功；工作进程再次更新，公网指纹与托管证书一致。
+- 为验证旧有效证书不能误通过，暂设不重载命令并尝试一次同域名签发；21:41 任务 3ba35861-151e-4157-9077-c35461582b0f 在 DNS 权限探测阶段失败，阿里云错误 InvalidRR.Format，未生成新证书，尚未进入 HTTPS 身份验证。
+- 21:44 产品权限检查接口相邻两次返回成功与失败。失败记录名为 _scert-authorization-W_BjXXHEGzEC5CbAXQ6Tpw7-.scert-20260930.apmmk.cn.，首标签以连字符结尾；源码使用 RawURLEncoding 生成随机标签。继续整改该偶发格式问题，不能通过反复重试碰运气作为解决方案。
+- 失败后已恢复服务器正常 nginx 重载命令并重新部署既有证书。没有修改受保护域或关闭 TLS 校验，未清库。
+
+## 最新候选升级记录（2026-09-30 21:33）
+
+- 源码 fc57b8e1da5f1e7e145ae191748451deabbea96c；规范克隆正式 Linux 构建成功，source_dirty=false，后端 548 个、前端 105 个受跟踪文件通过 LF 检查。构建后克隆无源码或锁文件差异。
+- 清单 23 项大小和 SHA-256 通过；实际归档 22 个文件的名称集合、无重复项、内容哈希及五个执行入口 0755 权限通过。归档位于发布版本目录的父目录；首次核对命令误按版本目录定位归档，修正只读路径后通过，未修改产物。
+- 归档 SHA-256：4efd67bccbb871f58ad5e0ec2197bc9131bdecfc1a215e070bfc5d7c1d89b23c；主程序 SHA-256：1d360b720f023f7511ee3f2d54f3a4e54ad74e9ac2fbb3a86b74cf664520d369。
+- 密码 SCP 上传，严格主机指纹校验；远端归档哈希及 21 项 SHA256SUMS 通过。在 /tmp/scert-https-verification-20260930 使用正式安装器，先停止 Scert.service、Scert-storage.socket 和目录服务，升级后恢复主服务与目录 socket。
+- 安装器保留旧发布文件于 /scert/.install-xPFV6M23；未新建独立远端备份或辅助验收脚本，未删除历史现场。升级后主程序哈希一致，两单元 active，公开 HTTPS readyz 返回 ready，浏览器忽略缓存刷新并重新登录成功。
+- 上一批专项竞态全部退出 0：应用 98.960 秒、接口 231.215 秒、部署 13.850 秒。此前“竞态收尾中、未部署”属于历史记录，本节更新当前状态。
+- 本轮是保留数据升级复测，没有清库，不代表首次初始化或完整生产门禁通过；正在验证新版本实际部署结果与失败恢复。
+
 ## 部署后 HTTPS 误报整改（2026-09-30，本地验证，未部署）
 
 ### 问题与修复

doc/Scert整改任务执行清单.md

@@ -1,4 +1,25 @@
 # Scert 整改任务执行清单
+## 当前阻塞修复（2026-09-30 21:45，随机 DNS 探测记录名）
+
+需求确认：修复真实申请链中随机探测记录名格式错误，不绕过权限验证；补正式回归、重建部署并复测，随后继续 HTTPS 身份与多域名验收。
+
+- [x] 新候选正常部署通过；真实重载后主动返回失败，原文件 inode、哈希和权限恢复，无残留锁；恢复正常命令后重新部署成功。
+- [x] 再次申请在 DNS 授权探测阶段返回 InvalidRR.Format，未生成第二张证书；产品权限接口相邻两次验证一成功一失败，失败记录首标签以连字符结尾。
+- [~] 将记录名随机后缀与 TXT 随机值分离，记录名采用固定长度安全字符集；补正式回归，保留随机强度和精确清理规则。
+- [ ] 本地回归、正式构建、部署后权限探测及签发复测。
+- [!] 同域名旧有效证书的公网负向验证尚未执行到 HTTPS 阶段；不能将本次 DNS 失败计入 HTTPS 验收。服务器重载命令已恢复正常。
+
+## 当前执行任务（2026-09-30 21:33，最新候选实机复测）
+
+需求确认：沿用已确认范围，核对最新正式包、密码 SSH 正式安装、复测部署身份与状态、推进单机多域名和失败恢复，并同步真实证据；不新增辅助验收脚本，不以升级复测替代清库首次验收。修改前检查点 03e10e1 已推送。
+
+- [x] 应用、接口、部署专项竞态均退出 0；前端 239 项、后端全量及静态检查通过，补齐上一批收尾状态。
+- [x] fc57b8e 规范克隆正式 Linux 构建成功，source_dirty=false；23 项清单和 22 个实际归档文件校验通过，五个执行入口权限为 0755。
+- [x] 密码上传并核对远端 SHA256SUMS，停止主服务及目录服务 socket 后用正式安装器升级；主服务、目录 socket 恢复 active，readyz 为 ready，管理页面重新登录成功。
+- [~] 正式页面部署已有证书，验证新字段和实际站点指纹；继续失败状态与恢复验证。
+- [ ] 单机多域名、真实多服务器、任务恢复、三数据库及最终清库首次初始化。
+- [!] 第二台真实服务器尚缺；本轮未清库，不提升完整生产验收状态。
+
 ## 当前整改任务（2026-09-30，部署后 HTTPS 校验）
 
 需求确认：沿用已确认生产验收范围，先消除成功误报，再推进真实失败恢复；不以状态文案修改替代恢复能力。修改前检查点 1b2b45d 已推送。

doc/Scert整改合并优化清单.md

@@ -1,4 +1,12 @@
 # Scert 整改、合并与优化清单
+## 最新实机进度（2026-09-30 21:33，最新候选已部署）
+
+- [x] 部署后 HTTPS 身份与状态修复 fc57b8e 已完成全量本地检查及应用、接口、部署专项竞态；前端 239 项通过。
+- [x] 新 Linux 正式包构建成功，干净源码；23 项清单与 22 个包内文件全部核对通过，五个执行入口权限正确。
+- [x] 密码 SSH 使用正式安装器升级到 fc57b8e，线上主程序哈希与本地产物一致；主服务、目录 socket、管理入口及重新登录正常。
+- [~] 正在进行新版本部署结果、失败恢复及单机多域名实机复测。
+- [!] P0-03 保持复审通过；P0-04、P0-10 整项及完整生产门禁继续保留未完成部分。此次保留数据升级不替代最终清库首次初始化。
+
 ## 最新整改进度（2026-09-30，部署后 HTTPS 身份与状态一致性）
 
 - [x] 回归已复现两个缺陷：站点仍返回同域名旧有效证书时被判成功；站点校验报错时部署报告仍为 success。