更新Smail恢复后的Linux上线任务清单

记录第二台清理状态、Smail恢复状态和第一台SMTP后续门禁，未修改源码。

doc/Linux生产流程测试记录.md

@@ -2984,3 +2984,32 @@ SQLite 新测试程序 SHA-256：4c81656fae63a2eebad999d58e6a79e63e6f441810e02ce
 - [ ] 真实系统发信、验证码、本机重置、新密码登录、正式 SSL 推送及最终生产复审。
 
 本节不记录任何通知凭据内容，不宣称第一台邮件或总体生产上线已通过。
+## 2026年10月5日 Smail 恢复与上线门禁重排
+
+### Smail 实时页面复核
+
+- [✓] 清理浏览器缓存并重新加载 `https://web.cdis.cn/#/` 后，页面显示 Smail 收件箱，不再是历史 `502 Bad Gateway`。
+- [✓] 当前页面显示账号为 `xuans`、角色为超级管理员；收件箱和设置入口可用。
+- [✓] “设置-系统通知发信”页面加载成功，`xuans` 状态显示“已开启”；系统通知授权页面可继续进行正式配置核对。
+- [✓] 历史 502 记录保留，不用新的 200 页面结果覆盖历史故障证据。
+
+### 第一台 `8.137.23.95`
+
+- [✓] 非敏感 SMTP 参数继续保持为 `smtp.cdis.cn:587`、STARTTLS、系统通知用户名，明文认证关闭。
+- [!] 当前脱敏配置仍显示 `smtp_enabled=false`，加密凭据引用为空；本次浏览器复核没有读取或记录任何密码、授权码或令牌。
+- [~] 待在第一台 root 受控终端交互录入敏感凭据后，执行配置校验、真实通知投递、验证码、本机重置和新密码登录。
+
+### 第二台 `45.136.13.241`
+
+- [✓] 继续保持无本项目部署包、无 Scert 运行实例和无专用监听，仅作为 SSL 推送测试目标。
+- [ ] 正式 SSL 推送、`nginx -t`、reload、受控失败回滚、恢复指纹及幂等重试尚未执行。
+
+### 当前门禁
+
+- [✓] Smail 上游恢复和系统通知授权页面可用。
+- [!] 第一台 SMTP 敏感凭据和有效 Scert 管理会话仍未完成。
+- [ ] 真实系统发信、验证码、本机重置、新密码登录。
+- [ ] 正式 SSL 推送与回滚矩阵。
+- [ ] 三数据库首次 Web、DNS/ACME、公共 HTTPS/SNI 和最终生产复审。
+
+本节仅更新当前实测进度，不宣称 Linux 项目已经上线通过；Windows 环境继续不纳入本轮。

doc/Scert整改任务执行清单.md

@@ -2868,3 +2868,28 @@ P0-05 从 `[!]` 调整为 `[~]`，并未标记完成；P0-04 剩余门禁和全
 - [ ] T5：三数据库首次 Web、DNS/ACME、公网 HTTPS/SNI 和最终上线复审。
 
 当前任务状态：第一台 SMTP 非敏感参数推进完成，敏感凭据和 Smail 上游恢复仍是 T3 门禁；Windows 不纳入本轮。
+## 2026年10月5日 Smail 恢复后接续任务清单
+
+### 需求确认
+
+- [✓] 只处理 Linux/Web；第一台 `8.137.23.95` 做部署测试，第二台 `45.136.13.241` 只做 SSL 推送测试。
+- [✓] 第二台不安装本项目；项目数据和部署包清理结果保持通过，PMail、共享 MySQL、现有 Nginx 和受保护恢复锁不动。
+- [✓] Smail `web.cdis.cn` 清理缓存后恢复正常页面，当前为 `xuans` 超级管理员会话。
+- [✓] Smail 系统通知页面显示 `xuans` 已开启，SMTP 非敏感参数已确认。
+- [!] 第一台 SMTP 凭据引用为空、开关仍关闭；真实邮件闭环未完成。
+
+### 任务列表
+
+- [✓] T3-恢复-1：重新加载并检查 Smail 页面及系统通知授权状态。
+- [~] T3-凭据-1：第一台 root 受控终端交互录入 SMTP 敏感凭据；不读取、不回显、不保存到文件或日志。
+- [ ] T3-验证-1：第一台 `config validate`、真实通知投递、收件箱到达核验。
+- [ ] T3-重置-1：本机 `Scert-admin` 验证码、重置、新密码登录及旧会话失效。
+- [ ] T4-推送-1：通过正式 Web/API 向第二台推送 SSL 并核验目标文件权限、摘要和 `nginx -t`。
+- [ ] T4-推送-2：注入可控失败，验证停止策略、旧证书回滚、恢复指纹和同幂等键重试。
+- [ ] T5-初始化-1：SQLite、MySQL、PostgreSQL 清库后按生产流程完成首次 Web 初始化和重启持久化。
+- [ ] T5-公网-1：DNS/ACME 正负向、公共 HTTPS/SNI、证书历史恢复及清缓存后的最终入口复审。
+- [!] T5-总体验收：在上述证据全部齐备前保持未通过。
+
+### 接续结论
+
+历史 `502 Bad Gateway` 仅保留为历史证据；本次正式页面复核已显示 Smail 收件箱和系统通知授权页面正常。下一阻塞点为第一台敏感 SMTP 凭据的受控录入，不通过数据库直改、公网重置或绕过认证推进。

doc/Scert整改合并优化清单.md

@@ -3482,3 +3482,33 @@ P0-11 生产验收门禁
 - [~] 待 Smail 上游恢复后，继续完成第一台 SMTP 凭据录入、真实发信、验证码、本机重置和新密码登录；随后执行第二台正式 SSL 推送及回滚矩阵。
 
 当前结论：本次只推进了第一台非敏感 SMTP 配置并保留安全边界，整体生产上线门禁继续未关闭。
+## 2026年10月5日 Smail 恢复后的 Linux 上线任务重排
+
+本节为当前最新执行入口，保留前文 502 历史记录，不覆盖历史证据。范围继续限定为 Linux/Web：第一台 `8.137.23.95` 用于部署测试，第二台 `45.136.13.241` 只用于 SSL 推送测试，不在第二台安装本项目。
+
+### 需求清单与当前状态
+
+- [✓] Smail 正式入口 `https://web.cdis.cn/` 已恢复；清理缓存后重新加载显示 Smail 收件箱，当前账号为 `xuans` 超级管理员。
+- [✓] Smail“设置-系统通知发信”页面可用；`xuans` 账号状态显示“已开启”，正式页面可读取非敏感 SMTP 参数。
+- [✓] 第一台非敏感 SMTP 参数已由官方 CLI 写入并通过校验：`smtp.cdis.cn:587`、STARTTLS、系统通知用户名，明文认证保持关闭。
+- [!] 第一台 SMTP 加密凭据引用仍为空，`smtp_enabled=false`；真实发信和本机重置尚未开始。
+- [✓] 第二台项目数据和部署包清理保持通过；不重新安装 Scert，只保留 SSL 推送测试目标。
+- [ ] 第一台正式保存 SMTP 敏感凭据，真实发送测试通知并确认收件箱到达。
+- [ ] 通过第一台本机受保护 `Scert-admin` 完成验证码、本机重置、新密码登录和旧会话失效验证。
+- [ ] 通过正式 Web/API 完成第二台 SSL 推送、`nginx -t`、reload、受控失败回滚、恢复指纹和幂等重试。
+- [ ] 完成 SQLite、MySQL、PostgreSQL 清库后的首次 Web 初始化、重启后重新登录持久化和清缓存复测。
+- [ ] 完成 DNS/ACME 正负向矩阵、公共 HTTPS/SNI、证书历史恢复和最终入口复审。
+- [!] 总体生产上线门禁仍未关闭；不以页面 200、构建成功或第二台清理结果代替完整上线验收。
+
+### 本轮执行顺序
+
+1. `[✓]` 复核 Smail 页面恢复和系统通知授权状态；保留 502 作为历史记录。
+2. `[~]` 在第一台 root 受控终端执行 `scert config set-secret --key notification.smtp_password`，敏感值只交互式输入，不写入参数、日志、文档或仓库。
+3. `[ ]` 只读复核第一台凭据引用和 `config validate`，随后发送真实系统通知并确认收件箱到达。
+4. `[ ]` 启动第一台 `Scert-admin` 本机受保护通道，完成验证码和密码重置闭环；不开放公网重置接口。
+5. `[ ]` 取得有效第一台管理会话后，在第二台建立最小 SSL 推送目标，完成成功、失败回滚、恢复和幂等矩阵。
+6. `[ ]` 完成三数据库首次 Web、DNS/ACME、公共 HTTPS/SNI 和最终清缓存复审。
+
+### 当前结论
+
+Smail 已从历史 502 状态恢复，系统通知授权页面可用；当前唯一直接业务硬门禁仍是第一台 SMTP 敏感凭据和有效 Scert 管理会话。第二台不安装本项目，受保护恢复锁继续保留，不得手工删除或改写。整体上线仍未通过。