更正第二台清理保护边界

补充部署包扫描、恢复锁和 SSH 安全配置的实时证据，纠正文档中限定扫描范围的表述。

doc/Linux生产流程测试记录.md

@@ -2856,3 +2856,12 @@ SQLite 新测试程序 SHA-256：4c81656fae63a2eebad999d58e6a79e63e6f441810e02ce
 - [ ] 正式 SSL 推送和失败回滚矩阵尚未执行，不能把本次清理记录写成生产上线验收。
 
 本次为第二台现场清理证据，后续推送测试必须通过正式 Web/API 流程重新建立最小目标。
+
+## 2026年10月4日 22:18 清理结果更正
+
+- [✓] 第二台全限定范围发布物扫描未发现 `.tar`、`.tar.gz`、`.tgz`、`.zip` 等部署包；`/ssl/scert` 为空。
+- [✓] Scert systemd 单元、Scert 进程和 `8443`/`8080`/`9000` 监听不存在；`nginx -t` 成功，Nginx、MySQL、PMail 为 active。
+- [!] 失败事务的 3 个 `.scert-lock` 恢复锁目录仍在 `/ssl/acceptance-0928.odacm.cn/single/` 下，按产品安全边界保留，不能直接删除或改写。
+- [!] 两份带有 Scert 标识的 SSH 配置仍在使用范围内，本轮未修改，以避免改变第二台的登录安全边界。
+
+更正结论：第二台“部署包清理”已完成；受保护恢复锁和 SSH 安全配置不作为部署包处理，也不能据此宣称所有项目命名数据均已删除。

doc/Scert整改任务执行清单.md

@@ -2781,3 +2781,12 @@ P0-05 从 `[!]` 调整为 `[~]`，并未标记完成；P0-04 剩余门禁和全
 - [ ] 正式 SSL 推送、受控失败、回滚、恢复指纹和幂等重试仍待重新建立最小推送目标后执行。
 
 本节仅证明第二台项目数据及部署包清理完成，不证明正式 SSL 推送或总体生产上线已通过。
+
+## 2026年10月4日 22:18 清理结果更正与保护边界
+
+- [✓] 第二台主机 `yc`（公网地址 `45.136.13.241`）的部署包扫描结果为 0；未发现 `.tar`、`.tar.gz`、`.tgz`、`.zip` 等本项目发布归档。
+- [✓] `/ssl/scert` 当前为空；Scert systemd 单元、进程和运行端口均不存在；Nginx 配置检查成功，Nginx、MySQL、PMail 保持 active。
+- [!] `/ssl/acceptance-0928.odacm.cn/single/` 下仍保留 3 个 `.scert-lock` 恢复锁目录。它们属于失败部署事务的受保护恢复现场，不能手工删除、改名或伪造终态；待正式人工处置流程完成后再复核。
+- [!] `/etc/ssh/sshd_config.d/99-scert-password-only.conf` 和 `99-scert-pubkey.conf` 仍保留，用于当前 SSH 登录认证边界；本轮未修改 SSH 安全配置。
+
+上述保护性残留不属于部署包。此前“全盘无项目命名文件”的表述仅适用于当时的限定扫描，现以本节更正结果为准。

doc/Scert整改合并优化清单.md

@@ -3397,3 +3397,12 @@ P0-11 生产验收门禁
 - [ ] 正式 SSL 推送、故障注入、回滚、恢复指纹、幂等重试和最终公共 HTTPS 验收仍未完成。
 
 当前状态：第二台清理项已完成并等待复审；整体 Linux/Web 生产上线门禁继续保持未通过。
+
+## 2026年10月4日 22:18 第二台清理结果更正
+
+- [✓] 第二台部署包归档扫描为 0，`/ssl/scert` 为空，Scert 服务、进程和监听均不存在。
+- [✓] Nginx 配置检查成功，Nginx、MySQL、PMail 保持 active；共享业务数据和 `/ssl/vcer.cn` 未清理。
+- [!] 失败部署事务的 3 个 `.scert-lock` 恢复锁目录继续保留，等待正式人工处置；不删除锁、不改写事务终态。
+- [!] SSH 认证配置继续保留，未改变第二台当前登录安全边界。
+
+本节更正并取代此前“限定范围无项目命名文件”的宽泛表述。当前已确认的是“无部署包、无运行实例、无推送测试站点”，不是“所有带 Scert 名称的受保护文件均已删除”。