补充Linux上线整改接手状态

记录候选包、第一台部署证据、SMTP未启用状态、第二台待测项及当前生产门禁。

doc/Linux生产流程测试记录.md

@@ -1,5 +1,25 @@
 # Linux 生产流程测试记录
 
+## 2026年10月4日 Linux 上线整改接手记录
+
+### 任务状态
+
+- [✓] 已确认本轮范围为 Linux Web 与服务端，不处理 Windows。
+- [✓] 已确认检查点 `f5c425f`、候选包路径和归档哈希，并完成第一台部署后的服务恢复核验。
+- [✓] 第一台 `8.137.23.95`：`Scert.service` 和 `Scert-storage.socket` active；Scert 仅监听 `127.0.0.1:8443`，MySQL 仅监听回环地址，Nginx 对外提供 `80/443`。
+- [!] 第一台 SMTP 配置仍关闭；尚未完成系统邮件、验证码送达、受保护终端密码重置和新密码登录的真实闭环。
+- [ ] 第二台 `45.136.13.241`：正式证书推送、Nginx 配置检查、重载、失败回滚和恢复测试尚未执行。
+- [ ] 三数据库首次 Web 初始化、重新登录持久化、DNS/ACME 正负向测试、公共 HTTPS 与证书恢复验收尚未完成。
+- [!] 第一台历史 `recovery_required` 事务继续按人工处置边界保留，禁止自动接管、删除锁或伪造恢复成功。
+- [!] 本记录当前不能作为生产验收通过证明；构建、单元测试或 Smail 页面 HTTP 200 仅属于对应证据层级。
+
+### 候选包证据
+
+- 路径：`release\production-candidate-20261004-f5c425f\Scert-20261004-V0.1.0`。
+- 归档 SHA-256：`38fb6986548e3c95295d5ff37b0141e54b2e142798384566a4464018e582f4ef`。
+- Manifest：`source_commit=f5c425f4b60fc3c1308ab86d859511868e08e4ff`，`source_dirty=false`，`trimpath=true`，`local_path_check=passed`，目标 `linux-amd64`。
+- `web.cdis.cn` 当前返回 Smail 页面，仅证明管理入口可访问，不证明 Scert SMTP 认证、发信或收件箱送达。
+
 ## 2026年10月4日11:07 第一台终态复核与本地权限回归
 
 - 第一台 `scert-dns-lease-review-20261004-0757.service` 实查 inactive/dead、Result=success、ExecMainStatus=0，日志结束于 08:04:50。使用源码属主 nobody 读取 Git，提交 `37765ff`、工作区干净；没有关闭 Git 所有权保护。

doc/Scert整改任务执行清单.md

@@ -1,5 +1,26 @@
 # Scert 整改任务执行清单
 
+## 2026年10月4日 Linux 上线整改接手状态
+
+### 本轮任务清单
+
+- [✓] 检查 `main` 分支、工作区和最近提交；当前检查点为 `f5c425f 开始执行Linux上线整改`。
+- [✓] 后端 `go test -p 1 -count=1 -timeout=12m ./...` 通过；前端 `npm.cmd test -- --run` 为 338 项通过、0 失败、0 跳过；前端生产构建通过。
+- [✓] Linux `linux-amd64` 候选包已构建并完成第一台部署；包内 `SHA256SUMS`、`/scert/scert` 和 `/scert/scert-admin` 哈希核对通过。
+- [✓] 第一台 `Scert.service`、`Scert-storage.socket` 恢复 active；`Scert-admin.service` 保持 inactive，符合本机受保护终端按需启动边界。
+- [!] 第一台 `scert.json` 的 `smtp_enabled=false`，真实邮件验证码和本机密码重置闭环未完成；不得把 Smail 页面可访问写成邮件投递成功。
+- [ ] 第二台 `45.136.13.241` 正式证书推送、配置检查、Nginx 重载、失败回滚及恢复测试待执行。
+- [ ] 三数据库首次初始化、重新登录持久化、DNS/ACME 正负向矩阵和公共 HTTPS 最终验收待执行。
+- [!] 历史恢复事务继续保留人工处置状态，不自动接管、不删除锁、不伪造成功。
+- [!] 总体生产门禁未关闭，等待实机证据和复审。
+
+### 发布与部署记录
+
+- 发布目录：`release\production-candidate-20261004-f5c425f\Scert-20261004-V0.1.0`。
+- 归档 SHA-256：`38fb6986548e3c95295d5ff37b0141e54b2e142798384566a4464018e582f4ef`。
+- Manifest 源码提交：`f5c425f4b60fc3c1308ab86d859511868e08e4ff`；工作区干净，目标为 `linux-amd64`。
+- 第一台：`8.137.23.95`；第二台：`45.136.13.241`。两台职责不混用，第二台尚未执行本轮正式推送。
+
 ## 2026年10月4日11:07 当前执行状态
 
 - [✓] 第一台 `37765ff` 的 `0757` 单元已成功结束，11:05 复核 inactive/dead、success、退出零及干净源码；旧三库租约和迁移复审等待项关闭，历史失败记录保留。

doc/Scert整改合并优化清单.md

@@ -1,5 +1,27 @@
 # Scert 整改、合并与优化清单
 
+## 2026年10月4日 Linux 上线整改接手状态
+
+### 本轮任务清单
+
+- [✓] 已恢复 `main` 分支现场，工作区干净；本轮 Linux 整改检查点为 `f5c425f`，已提交并推送。
+- [✓] 已完成后端全量回归、前端全量回归、前端生产构建及 Linux `linux-amd64` 候选包构建。
+- [✓] 已将候选包部署到第一台 `8.137.23.95`；安装包校验、主程序哈希、`Scert.service` 和 `Scert-storage.socket` 状态均符合预期。
+- [✓] 已核对第一台端口边界：Scert 仅监听 `127.0.0.1:8443`，MySQL 仅监听回环地址，公网入口由 Nginx 提供，未新增公网业务端口。
+- [!] 第一台 SMTP 仍为关闭状态，尚未完成真实系统邮件、验证码送达、受保护终端重置及新密码登录闭环。
+- [ ] 第二台 `45.136.13.241` 的正式证书推送、Nginx 重载、失败回滚和恢复测试尚未执行。
+- [ ] 三数据库首次 Web 初始化、重新登录持久化、DNS/ACME 正负向矩阵及最终公共 HTTPS 验收尚未完成。
+- [!] 历史 `recovery_required` 事务仍需按 `Scert-admin` 本机人工处置流程核查；禁止自动接管、手工删除锁或伪造恢复成功。
+- [!] 当前总体生产验收门禁保持未通过，构建成功、HTTP 200 和本地测试通过均不作为生产验收结论。
+
+### 候选包与第一台部署证据
+
+- 候选包目录：`release\production-candidate-20261004-f5c425f\Scert-20261004-V0.1.0`。
+- Linux 归档 SHA-256：`38fb6986548e3c95295d5ff37b0141e54b2e142798384566a4464018e582f4ef`。
+- Manifest：`source_commit=f5c425f4b60fc3c1308ab86d859511868e08e4ff`、`source_dirty=false`、`trimpath=true`、`local_path_check=passed`、目标为 `linux-amd64`。
+- `web.cdis.cn` 当前可访问并返回 Smail 页面，但这不等同于第一台 Scert SMTP 已认证或邮件已投递成功。
+- 部署过程中未清理业务数据库、证书或现有 Nginx 配置；SSH 主机指纹保持严格校验，未使用不安全 TLS 选项。
+
 ## 2026年10月4日 公网超级管理员密码重置入口安全收口
 
 - [x] Web 端 `/password-reset` 和 `/reset` 页面改为静态安全阻断提示，统一提示“当前方式无法使用，请联系运维人员辅助解决”，不再展示账号、验证码或新密码表单。