docs(deploy): 按 specs 约束补全部署文档（新增 DEPLOY-CHECKLIST.md）

为什么：用户要求"写好文档，一定要根据 specs 文档约束好"。把 specs 里与部署相关的
硬约束逐条对照现状后发现 9 条里有 6 条未覆盖或只写了一半，需要一次补齐并如实标注工程缺口。

- 新增 DEPLOY-CHECKLIST.md：环境映射（办公室主机 = test）、域名/HTTPS/反代（含 nginx 与证书建议）、
  网络分区、发布与回滚规范（语义化 tag / release→main / 回滚演练）、备份与恢复（specs 目标 vs 现状差距）、
  监控与告警现状、密钥托管与轮换、**上线检查清单对照表（docs/12 逐条 ✅⚠️❌ + 责任方）**、
  风险/待确认（R1–R10）、上线前必补清单（P0–P2）
- DEPLOY.md 增加"本机属于 test 环境"与交叉引用，并单列"上线前必须补的四条"提示
- 对照表里的 ✅ 都带证据（如分区生效先实测 playback_ticket_202610 落分区、_default = 0）
- 只写文档，未改任何实现；mvn test 83 条全过、两入口 package 通过

DEPLOY.md

@@ -4,6 +4,13 @@
 > `docs/11-发布与回滚方案.md`、`docs/12-上线检查清单.md`（**播放签名生产必开**、密钥走环境变量）。
 > 目标机形态：**办公室一台主机**（§三 精简方案：app/api/DB/Redis 合并 1 台 8C32G，转码 worker 独立进程）。
 
+> **本文只讲"怎么部署/怎么回滚"**。要回答"我们离 specs 还差什么、上线前必补什么"，
+> 看 **[DEPLOY-CHECKLIST.md](./DEPLOY-CHECKLIST.md)**（环境映射、域名/HTTPS、备份恢复、监控、发布与回滚规范、
+> `docs/12-上线检查清单` 逐条对照表、风险/待确认）。
+
+**这台办公室主机属于 `test` 环境**（`04-部署架构`§一：测试/联调、独立测试库、内网/VPN 访问）；
+`pre`/`prod` 的规格与前置条件见 `DEPLOY-CHECKLIST.md` §一。
+
 ## 一、两条部署路径（先选一条）
 
 | 路径 | 适用 | 命令主线 |
@@ -171,6 +178,18 @@ docker compose exec -T db pg_dump -U "${DB_USER:-fruitshorts}" "${DB_NAME:-fruit
   **prod fail-fast**（缺密钥时退出码 1 + 明确报错）、配置外置（`DB_URL` 等改动后仍能起）。
 - 目标主机上有 Docker 之后，请**先跑 §三 的 1)–4) 步**确认；如报错把 `docker compose logs` 贴回来。
 
+## 八之二、上线前必须补的（治理类，详见 DEPLOY-CHECKLIST.md）
+
+以下四条**不是**"部署命令"层面的问题，但 `docs/12-上线检查清单` 把它们列为上线条件，此处给出醒目提示：
+
+1. **HTTPS + 独立域名 + 反向代理**（管理端/客户端 API/媒资分域名，`04-部署架构`§四 + `10-安全方案`§二）—— 现在只有 IP:HTTP；
+2. **备份恢复**：specs 要求每日全量×30 天 + WAL 归档 + 加密 + 异地 + **RPO≤5min / RTO≤30min** + 季度演练，
+   现在只有手动 `pg_dump`，且**备份与数据库在同一台机器上**（等于没备份）；
+3. **监控告警**：Prometheus/Grafana/Loki 未部署；第一阶段按 specs 允许用日志兜底，但"容器 unhealthy 要能通知到人"；
+4. **商店与合规**：隐私政策/Data Safety/SDK 清单/版权台账/包名统一，均未办（印尼还涉及 Kominfo PSE 注册）。
+
+**逐条状态与"上线前必补清单（按优先级）"见 [DEPLOY-CHECKLIST.md](./DEPLOY-CHECKLIST.md)。**
+
 ## 九、故障速查
 
 | 现象 | 先看 | 处理 |