docs: add production go-live step-by-step guide

chore: harden production readiness gates and runbooks
feat: implement tenant-side creator audit feature and update related tests and documentation
2026-02-09 11:47:15 +08:00 · 2026-02-09 11:27:23 +08:00 · 2026-02-09 06:54:04 +08:00 · 2026-02-08 19:47:28 +08:00
39 changed files with 8377 additions and 284 deletions
--- a/backend/.gitea/workflows/build.yml
+++ b/backend/.gitea/workflows/build.yml
@@ -3,7 +3,7 @@ run-name: ${{ gitea.actor }} Build Application
 on: [push]

 jobs:
-  Build:
+  FrontendChecks:
    runs-on: ubuntu-latest
    steps:
      - name: Check out repository code
@@ -14,29 +14,74 @@ jobs:
        with:
          node-version: "20"

-      - name: Install dependencies and build frontend
+      - name: Install portal dependencies
        run: |
-          cd frontend
-          npm config set registry https://npm.hub.ipao.vip
-          npm install
-          npm run build
+          cd frontend/portal
+          npm ci
+
+      - name: Portal lint (check only)
+        run: npm -C frontend/portal run lint
+
+      - name: Portal build
+        run: npm -C frontend/portal run build
+
+      - name: Install superadmin dependencies
+        run: |
+          cd frontend/superadmin
+          npm ci
+
+      - name: Superadmin lint (check only)
+        run: npm -C frontend/superadmin run lint
+
+      - name: Superadmin build
+        run: npm -C frontend/superadmin run build
+
+  BackendChecks:
+    runs-on: ubuntu-latest
+    steps:
+      - name: Check out repository code
+        uses: actions/checkout@v4

      - name: Set up Go
        uses: actions/setup-go@v3
        with:
          go-version: "1.22"

+      - name: Configure Go proxy
+        run: |
+          go env -w GOPROXY=https://go.hub.ipao.vip,direct
+          go env -w GONOPROXY='git.ipao.vip'
+          go env -w GONOSUMDB='git.ipao.vip'
+
+      - name: Run backend tests
+        run: |
+          cd backend
+          go test ./...
+
      - name: Build Go application
        run: |
          cd backend
          mkdir -p build
-          go env -w GOPROXY=https://go.hub.ipao.vip,direct
-          go env -w GONOPROXY='git.ipao.vip'
-          go env -w GONOSUMDB='git.ipao.vip'
-          go mod tidy
          CGO_ENABLED=0 GOOS=linux GOARCH=amd64 go build -o build/app .

+      - name: API smoke (health/readiness)
+        run: |
+          cd backend
+          timeout 45s go run . serve > /tmp/quyun_backend.log 2>&1 &
+          APP_PID=$!
+          sleep 15
+          curl -f -sS http://127.0.0.1:18080/healthz > /tmp/healthz.out
+          curl -f -sS http://127.0.0.1:18080/readyz > /tmp/readyz.out
+          kill ${APP_PID}
+
+  DockerImage:
+    runs-on: ubuntu-latest
+    needs: [FrontendChecks, BackendChecks]
+    steps:
+      - name: Check out repository code
+        uses: actions/checkout@v4
+
      - name: Build final Docker image
        run: |
          docker login -u ${{ secrets.DOCKER_AF_USERNAME }} -p ${{ secrets.DOCKER_AF_PASSWORD }} docker-af.hub.ipao.vip
-          docker build --push -t docker-af.hub.ipao.vip/rogeecn/test:latest  .
+          docker build --push -t docker-af.hub.ipao.vip/rogeecn/test:latest .
--- a/backend/app/http/v1/creator.go
+++ b/backend/app/http/v1/creator.go
@@ -186,6 +186,36 @@ func (c *Creator) ListOrders(ctx fiber.Ctx, filter *dto.CreatorOrderListFilter)
 	return services.Creator.ListOrders(ctx, tenantID, userID, filter)
 }

+// List creator audit logs
+//
+// @Router /v1/t/:tenantCode/creator/audit-logs [get]
+// @Summary List creator audit logs
+// @Description 查询当前租户创作者侧审计日志（仅管理员可见）
+// @Tags CreatorCenter
+// @Accept json
+// @Produce json
+// @Param page query int false "Page"
+// @Param limit query int false "Limit"
+// @Param operator_id query int false "Operator ID"
+// @Param operator_name query string false "Operator name"
+// @Param action query string false "Action"
+// @Param target_id query string false "Target ID"
+// @Param keyword query string false "Keyword"
+// @Param created_at_from query string false "Created at from (RFC3339)"
+// @Param created_at_to query string false "Created at to (RFC3339)"
+// @Success 200 {object} requests.Pager{items=[]dto.CreatorAuditLogItem}
+// @Bind filter query
+func (c *Creator) ListAuditLogs(ctx fiber.Ctx, filter *dto.CreatorAuditLogListFilter) (*requests.Pager, error) {
+	if filter == nil {
+		filter = &dto.CreatorAuditLogListFilter{}
+	}
+
+	tenantID := getTenantID(ctx)
+	userID := getUserID(ctx)
+
+	return services.Creator.ListAuditLogs(ctx, tenantID, userID, filter)
+}
+
 // Process order refund
 //
 // @Router /v1/t/:tenantCode/creator/orders/:id<int>/refund [post]
--- a/backend/app/http/v1/dto/creator_audit.go
+++ b/backend/app/http/v1/dto/creator_audit.go
@@ -0,0 +1,45 @@
+package dto
+
+import "quyun/v2/app/requests"
+
+// CreatorAuditLogListFilter 创作者侧审计日志列表过滤条件。
+type CreatorAuditLogListFilter struct {
+	// Pagination 分页参数（page/limit）。
+	requests.Pagination
+	// OperatorID 操作者用户ID，精确匹配。
+	OperatorID *int64 `query:"operator_id"`
+	// OperatorName 操作者用户名/昵称，模糊匹配。
+	OperatorName *string `query:"operator_name"`
+	// Action 动作标识，精确匹配。
+	Action *string `query:"action"`
+	// TargetID 目标ID，精确匹配。
+	TargetID *string `query:"target_id"`
+	// Keyword 详情关键词，模糊匹配。
+	Keyword *string `query:"keyword"`
+	// CreatedAtFrom 创建时间起始（RFC3339/2006-01-02）。
+	CreatedAtFrom *string `query:"created_at_from"`
+	// CreatedAtTo 创建时间结束（RFC3339/2006-01-02）。
+	CreatedAtTo *string `query:"created_at_to"`
+	// Asc 升序字段（id/created_at）。
+	Asc *string `query:"asc"`
+	// Desc 降序字段（id/created_at）。
+	Desc *string `query:"desc"`
+}
+
+// CreatorAuditLogItem 创作者侧审计日志条目。
+type CreatorAuditLogItem struct {
+	// ID 审计日志ID。
+	ID int64 `json:"id"`
+	// OperatorID 操作者用户ID。
+	OperatorID int64 `json:"operator_id"`
+	// OperatorName 操作者用户名/昵称。
+	OperatorName string `json:"operator_name"`
+	// Action 动作标识。
+	Action string `json:"action"`
+	// TargetID 目标ID。
+	TargetID string `json:"target_id"`
+	// Detail 操作详情。
+	Detail string `json:"detail"`
+	// CreatedAt 创建时间（RFC3339）。
+	CreatedAt string `json:"created_at"`
+}
--- a/backend/app/http/v1/routes.gen.go
+++ b/backend/app/http/v1/routes.gen.go
@@ -171,6 +171,11 @@ func (r *Routes) Register(router fiber.Router) {
 		r.creator.RemovePayoutAccount,
 		QueryParam[int64]("id"),
 	))
+	r.log.Debugf("Registering route: Get /v1/t/:tenantCode/creator/audit-logs -> creator.ListAuditLogs")
+	router.Get("/v1/t/:tenantCode/creator/audit-logs"[len(r.Path()):], DataFunc1(
+		r.creator.ListAuditLogs,
+		Query[dto.CreatorAuditLogListFilter]("filter"),
+	))
 	r.log.Debugf("Registering route: Get /v1/t/:tenantCode/creator/contents -> creator.ListContents")
 	router.Get("/v1/t/:tenantCode/creator/contents"[len(r.Path()):], DataFunc1(
 		r.creator.ListContents,
--- a/backend/app/services/coupon_test.go
+++ b/backend/app/services/coupon_test.go
@@ -2,9 +2,11 @@ package services

 import (
 	"database/sql"
+	"errors"
 	"testing"

 	"quyun/v2/app/commands/testx"
+	"quyun/v2/app/errorx"
 	order_dto "quyun/v2/app/http/v1/dto"
 	"quyun/v2/database"
 	"quyun/v2/database/models"
@@ -196,3 +198,137 @@ func (s *CouponTestSuite) Test_ListAvailable() {
 		So(list[0].CouponID, ShouldEqual, cp.ID)
 	})
 }
+
+func (s *CouponTestSuite) Test_Validate_DenyCrossTenantCoupon() {
+	Convey("Validate should deny cross-tenant coupon", s.T(), func() {
+		ctx := s.T().Context()
+		database.Truncate(
+			ctx,
+			s.DB,
+			models.TableNameCoupon,
+			models.TableNameUserCoupon,
+			models.TableNameUser,
+		)
+
+		user := &models.User{Username: "coupon_cross_validate", Phone: "13800000011"}
+		So(models.UserQuery.WithContext(ctx).Create(user), ShouldBeNil)
+
+		tenantA := int64(11)
+		tenantB := int64(22)
+		coupon := &models.Coupon{
+			TenantID:       tenantA,
+			Title:          "Tenant A Coupon",
+			Type:           consts.CouponTypeFixAmount,
+			Value:          200,
+			MinOrderAmount: 0,
+		}
+		So(models.CouponQuery.WithContext(ctx).Create(coupon), ShouldBeNil)
+
+		userCoupon := &models.UserCoupon{
+			UserID:   user.ID,
+			CouponID: coupon.ID,
+			Status:   consts.UserCouponStatusUnused,
+		}
+		So(models.UserCouponQuery.WithContext(ctx).Create(userCoupon), ShouldBeNil)
+
+		_, err := Coupon.Validate(ctx, tenantB, user.ID, userCoupon.ID, 1000)
+		So(err, ShouldNotBeNil)
+
+		var appErr *errorx.AppError
+		So(errors.As(err, &appErr), ShouldBeTrue)
+		So(appErr.Code, ShouldEqual, errorx.ErrForbidden.Code)
+	})
+}
+
+func (s *CouponTestSuite) Test_MarkUsed_DenyCrossTenantCoupon() {
+	Convey("MarkUsed should deny cross-tenant coupon", s.T(), func() {
+		ctx := s.T().Context()
+		database.Truncate(
+			ctx,
+			s.DB,
+			models.TableNameCoupon,
+			models.TableNameUserCoupon,
+			models.TableNameOrder,
+			models.TableNameUser,
+		)
+
+		user := &models.User{Username: "coupon_cross_mark", Phone: "13800000012"}
+		So(models.UserQuery.WithContext(ctx).Create(user), ShouldBeNil)
+
+		tenantA := int64(33)
+		tenantB := int64(44)
+		coupon := &models.Coupon{
+			TenantID:       tenantA,
+			Title:          "Tenant A Coupon",
+			Type:           consts.CouponTypeFixAmount,
+			Value:          200,
+			MinOrderAmount: 0,
+		}
+		So(models.CouponQuery.WithContext(ctx).Create(coupon), ShouldBeNil)
+
+		userCoupon := &models.UserCoupon{
+			UserID:   user.ID,
+			CouponID: coupon.ID,
+			Status:   consts.UserCouponStatusUnused,
+		}
+		So(models.UserCouponQuery.WithContext(ctx).Create(userCoupon), ShouldBeNil)
+
+		order := &models.Order{
+			TenantID: tenantA,
+			UserID:   user.ID,
+			Type:     consts.OrderTypeContentPurchase,
+			Status:   consts.OrderStatusCreated,
+		}
+		So(models.OrderQuery.WithContext(ctx).Create(order), ShouldBeNil)
+
+		err := models.Q.Transaction(func(tx *models.Query) error {
+			return Coupon.MarkUsed(ctx, tx, tenantB, userCoupon.ID, order.ID)
+		})
+		So(err, ShouldNotBeNil)
+
+		var appErr *errorx.AppError
+		So(errors.As(err, &appErr), ShouldBeTrue)
+		So(appErr.Code, ShouldEqual, errorx.ErrForbidden.Code)
+	})
+}
+
+func (s *CouponTestSuite) Test_Grant_DenyCrossTenantCoupon() {
+	Convey("Grant should reject coupon from another tenant", s.T(), func() {
+		ctx := s.T().Context()
+		database.Truncate(
+			ctx,
+			s.DB,
+			models.TableNameCoupon,
+			models.TableNameUserCoupon,
+			models.TableNameUser,
+		)
+
+		user := &models.User{Username: "coupon_cross_grant", Phone: "13800000013"}
+		So(models.UserQuery.WithContext(ctx).Create(user), ShouldBeNil)
+
+		tenantA := int64(55)
+		tenantB := int64(66)
+		coupon := &models.Coupon{
+			TenantID:       tenantA,
+			Title:          "Tenant A Coupon",
+			Type:           consts.CouponTypeFixAmount,
+			Value:          200,
+			MinOrderAmount: 0,
+		}
+		So(models.CouponQuery.WithContext(ctx).Create(coupon), ShouldBeNil)
+
+		granted, err := Coupon.Grant(ctx, tenantB, coupon.ID, []int64{user.ID})
+		So(err, ShouldNotBeNil)
+		So(granted, ShouldEqual, 0)
+
+		var appErr *errorx.AppError
+		So(errors.As(err, &appErr), ShouldBeTrue)
+		So(appErr.Code, ShouldEqual, errorx.ErrRecordNotFound.Code)
+
+		exists, err := models.UserCouponQuery.WithContext(ctx).
+			Where(models.UserCouponQuery.UserID.Eq(user.ID), models.UserCouponQuery.CouponID.Eq(coupon.ID)).
+			Exists()
+		So(err, ShouldBeNil)
+		So(exists, ShouldBeFalse)
+	})
+}
--- a/backend/app/services/creator.go
+++ b/backend/app/services/creator.go
@@ -16,6 +16,7 @@ import (
 	"quyun/v2/pkg/consts"

 	"github.com/google/uuid"
+	"go.ipao.vip/gen/field"
 	"go.ipao.vip/gen/types"
 	"gorm.io/gorm"
 )
@@ -717,6 +718,158 @@ func (s *creator) ListOrders(
 	return data, nil
 }

+func (s *creator) ListAuditLogs(
+	ctx context.Context,
+	tenantID int64,
+	userID int64,
+	filter *creator_dto.CreatorAuditLogListFilter,
+) (*requests.Pager, error) {
+	if filter == nil {
+		filter = &creator_dto.CreatorAuditLogListFilter{}
+	}
+	if tenantID == 0 {
+		return nil, errorx.ErrRecordNotFound.WithMsg("租户不存在")
+	}
+
+	if _, err := Tenant.ensureTenantAdmin(ctx, tenantID, userID); err != nil {
+		return nil, err
+	}
+
+	tbl, q := models.AuditLogQuery.QueryContext(ctx)
+	q = q.Where(tbl.TenantID.Eq(tenantID))
+
+	if filter.OperatorID != nil && *filter.OperatorID > 0 {
+		q = q.Where(tbl.OperatorID.Eq(*filter.OperatorID))
+	}
+	if filter.Action != nil && strings.TrimSpace(*filter.Action) != "" {
+		q = q.Where(tbl.Action.Eq(strings.TrimSpace(*filter.Action)))
+	}
+	if filter.TargetID != nil && strings.TrimSpace(*filter.TargetID) != "" {
+		q = q.Where(tbl.TargetID.Eq(strings.TrimSpace(*filter.TargetID)))
+	}
+	if filter.Keyword != nil && strings.TrimSpace(*filter.Keyword) != "" {
+		keyword := "%" + strings.TrimSpace(*filter.Keyword) + "%"
+		q = q.Where(field.Or(tbl.Detail.Like(keyword), tbl.Action.Like(keyword), tbl.TargetID.Like(keyword)))
+	}
+
+	operatorIDs, operatorFilter, err := Tenant.lookupUserIDs(ctx, filter.OperatorName)
+	if err != nil {
+		return nil, err
+	}
+	if operatorFilter {
+		if len(operatorIDs) == 0 {
+			q = q.Where(tbl.ID.Eq(-1))
+		} else {
+			q = q.Where(tbl.OperatorID.In(operatorIDs...))
+		}
+	}
+
+	if filter.CreatedAtFrom != nil {
+		from, err := Super.parseFilterTime(filter.CreatedAtFrom)
+		if err != nil {
+			return nil, err
+		}
+		if from != nil {
+			q = q.Where(tbl.CreatedAt.Gte(*from))
+		}
+	}
+	if filter.CreatedAtTo != nil {
+		to, err := Super.parseFilterTime(filter.CreatedAtTo)
+		if err != nil {
+			return nil, err
+		}
+		if to != nil {
+			q = q.Where(tbl.CreatedAt.Lte(*to))
+		}
+	}
+
+	orderApplied := false
+	if filter.Desc != nil && strings.TrimSpace(*filter.Desc) != "" {
+		switch strings.TrimSpace(*filter.Desc) {
+		case "id":
+			q = q.Order(tbl.ID.Desc())
+		case "created_at":
+			q = q.Order(tbl.CreatedAt.Desc())
+		}
+		orderApplied = true
+	} else if filter.Asc != nil && strings.TrimSpace(*filter.Asc) != "" {
+		switch strings.TrimSpace(*filter.Asc) {
+		case "id":
+			q = q.Order(tbl.ID)
+		case "created_at":
+			q = q.Order(tbl.CreatedAt)
+		}
+		orderApplied = true
+	}
+	if !orderApplied {
+		q = q.Order(tbl.CreatedAt.Desc())
+	}
+
+	filter.Pagination.Format()
+	total, err := q.Count()
+	if err != nil {
+		return nil, errorx.ErrDatabaseError.WithCause(err)
+	}
+	list, err := q.Offset(int(filter.Pagination.Offset())).Limit(int(filter.Pagination.Limit)).Find()
+	if err != nil {
+		return nil, errorx.ErrDatabaseError.WithCause(err)
+	}
+	if len(list) == 0 {
+		return &requests.Pager{
+			Pagination: filter.Pagination,
+			Total:      total,
+			Items:      []creator_dto.CreatorAuditLogItem{},
+		}, nil
+	}
+
+	operatorSet := make(map[int64]struct{}, len(list))
+	for _, log := range list {
+		if log.OperatorID > 0 {
+			operatorSet[log.OperatorID] = struct{}{}
+		}
+	}
+
+	operatorMap := make(map[int64]*models.User, len(operatorSet))
+	if len(operatorSet) > 0 {
+		ids := make([]int64, 0, len(operatorSet))
+		for id := range operatorSet {
+			ids = append(ids, id)
+		}
+		userTbl, userQuery := models.UserQuery.QueryContext(ctx)
+		users, err := userQuery.Where(userTbl.ID.In(ids...)).Find()
+		if err != nil {
+			return nil, errorx.ErrDatabaseError.WithCause(err)
+		}
+		for _, user := range users {
+			operatorMap[user.ID] = user
+		}
+	}
+
+	items := make([]creator_dto.CreatorAuditLogItem, 0, len(list))
+	for _, log := range list {
+		item := creator_dto.CreatorAuditLogItem{
+			ID:         log.ID,
+			OperatorID: log.OperatorID,
+			Action:     log.Action,
+			TargetID:   log.TargetID,
+			Detail:     log.Detail,
+			CreatedAt:  s.formatTime(log.CreatedAt),
+		}
+		if operator := operatorMap[log.OperatorID]; operator != nil {
+			item.OperatorName = operator.Username
+		} else if log.OperatorID > 0 {
+			item.OperatorName = "ID:" + strconv.FormatInt(log.OperatorID, 10)
+		}
+		items = append(items, item)
+	}
+
+	return &requests.Pager{
+		Pagination: filter.Pagination,
+		Total:      total,
+		Items:      items,
+	}, nil
+}
+
 func (s *creator) ProcessRefund(ctx context.Context, tenantID, userID, id int64, form *creator_dto.RefundForm) error {
 	tid, err := s.getTenantID(ctx, tenantID, userID)
 	if err != nil {
--- a/backend/app/services/creator_test.go
+++ b/backend/app/services/creator_test.go
@@ -592,3 +592,86 @@ func (s *CreatorTestSuite) Test_ExportReport() {
 		So(resp.Content, ShouldContainSubstring, "date,paid_orders,paid_amount,refund_orders,refund_amount,withdrawal_apply_orders,withdrawal_apply_amount,withdrawal_paid_orders,withdrawal_paid_amount,withdrawal_failed_orders,withdrawal_failed_amount,content_created,like_actions,favorite_actions,comment_count")
 	})
 }
+
+func (s *CreatorTestSuite) Test_ListAuditLogs() {
+	Convey("ListAuditLogs", s.T(), func() {
+		ctx := s.T().Context()
+		database.Truncate(ctx, s.DB,
+			models.TableNameAuditLog,
+			models.TableNameTenant,
+			models.TableNameUser,
+		)
+
+		owner := &models.User{Username: "owner_audit", Phone: "13900001013"}
+		operator := &models.User{Username: "operator_audit", Phone: "13900001014"}
+		outsider := &models.User{Username: "outsider_audit", Phone: "13900001015"}
+		models.UserQuery.WithContext(ctx).Create(owner, operator, outsider)
+
+		tenantA := &models.Tenant{
+			Name:   "Tenant Audit A",
+			Code:   "tenant_audit_a",
+			UserID: owner.ID,
+			Status: consts.TenantStatusVerified,
+		}
+		tenantB := &models.Tenant{
+			Name:   "Tenant Audit B",
+			Code:   "tenant_audit_b",
+			UserID: operator.ID,
+			Status: consts.TenantStatusVerified,
+		}
+		models.TenantQuery.WithContext(ctx).Create(tenantA, tenantB)
+
+		now := time.Now()
+		models.AuditLogQuery.WithContext(ctx).Create(
+			&models.AuditLog{
+				TenantID:   tenantA.ID,
+				OperatorID: owner.ID,
+				Action:     "update_settings",
+				TargetID:   "setting_1",
+				Detail:     "更新频道配置",
+				CreatedAt:  now.Add(-1 * time.Hour),
+			},
+			&models.AuditLog{
+				TenantID:   tenantA.ID,
+				OperatorID: operator.ID,
+				Action:     "invite_member",
+				TargetID:   "member_1",
+				Detail:     "邀请成员",
+				CreatedAt:  now,
+			},
+			&models.AuditLog{
+				TenantID:   tenantB.ID,
+				OperatorID: operator.ID,
+				Action:     "update_settings",
+				TargetID:   "setting_999",
+				Detail:     "跨租户数据",
+				CreatedAt:  now,
+			},
+		)
+
+		pager, err := Creator.ListAuditLogs(ctx, tenantA.ID, owner.ID, &creator_dto.CreatorAuditLogListFilter{})
+		So(err, ShouldBeNil)
+		So(pager.Total, ShouldEqual, 2)
+
+		items, ok := pager.Items.([]creator_dto.CreatorAuditLogItem)
+		So(ok, ShouldBeTrue)
+		So(len(items), ShouldEqual, 2)
+		So(items[0].TargetID, ShouldEqual, "member_1")
+		So(items[1].TargetID, ShouldEqual, "setting_1")
+
+		operatorName := "operator_audit"
+		filtered, err := Creator.ListAuditLogs(ctx, tenantA.ID, owner.ID, &creator_dto.CreatorAuditLogListFilter{
+			OperatorName: &operatorName,
+		})
+		So(err, ShouldBeNil)
+		So(filtered.Total, ShouldEqual, 1)
+		filteredItems, ok := filtered.Items.([]creator_dto.CreatorAuditLogItem)
+		So(ok, ShouldBeTrue)
+		So(len(filteredItems), ShouldEqual, 1)
+		So(filteredItems[0].Action, ShouldEqual, "invite_member")
+		So(filteredItems[0].OperatorName, ShouldEqual, "operator_audit")
+
+		_, err = Creator.ListAuditLogs(ctx, tenantA.ID, outsider.ID, &creator_dto.CreatorAuditLogListFilter{})
+		So(err, ShouldNotBeNil)
+	})
+}
--- a/backend/app/services/order_test.go
+++ b/backend/app/services/order_test.go
@@ -2,9 +2,11 @@ package services

 import (
 	"database/sql"
+	"errors"
 	"testing"

 	"quyun/v2/app/commands/testx"
+	"quyun/v2/app/errorx"
 	order_dto "quyun/v2/app/http/v1/dto"
 	"quyun/v2/database"
 	"quyun/v2/database/models"
@@ -168,3 +170,74 @@ func (s *OrderTestSuite) Test_PlatformCommission() {
 		})
 	})
 }
+
+func (s *OrderTestSuite) Test_Pay_DenyCrossTenantOrder() {
+	Convey("Pay should deny cross-tenant order", s.T(), func() {
+		ctx := s.T().Context()
+		database.Truncate(
+			ctx,
+			s.DB,
+			models.TableNameUser,
+			models.TableNameTenant,
+			models.TableNameOrder,
+		)
+
+		buyer := &models.User{Username: "buyer_cross_tenant", Balance: 5000}
+		So(models.UserQuery.WithContext(ctx).Create(buyer), ShouldBeNil)
+
+		tenantA := &models.Tenant{UserID: buyer.ID, Code: "order_pay_cross_a", Name: "Tenant A", Status: consts.TenantStatusVerified}
+		tenantB := &models.Tenant{UserID: buyer.ID, Code: "order_pay_cross_b", Name: "Tenant B", Status: consts.TenantStatusVerified}
+		So(models.TenantQuery.WithContext(ctx).Create(tenantA, tenantB), ShouldBeNil)
+
+		order := &models.Order{
+			TenantID:   tenantA.ID,
+			UserID:     buyer.ID,
+			Type:       consts.OrderTypeContentPurchase,
+			Status:     consts.OrderStatusCreated,
+			AmountPaid: 1000,
+		}
+		So(models.OrderQuery.WithContext(ctx).Create(order), ShouldBeNil)
+
+		_, err := Order.Pay(ctx, tenantB.ID, buyer.ID, order.ID, &order_dto.OrderPayForm{Method: "balance"})
+		So(err, ShouldNotBeNil)
+
+		var appErr *errorx.AppError
+		So(errors.As(err, &appErr), ShouldBeTrue)
+		So(appErr.Code, ShouldEqual, errorx.ErrForbidden.Code)
+	})
+}
+
+func (s *OrderTestSuite) Test_Status_DenyCrossTenantOrder() {
+	Convey("Status should deny cross-tenant order", s.T(), func() {
+		ctx := s.T().Context()
+		database.Truncate(
+			ctx,
+			s.DB,
+			models.TableNameUser,
+			models.TableNameTenant,
+			models.TableNameOrder,
+		)
+
+		buyer := &models.User{Username: "buyer_status_cross", Balance: 5000}
+		So(models.UserQuery.WithContext(ctx).Create(buyer), ShouldBeNil)
+
+		tenantA := &models.Tenant{UserID: buyer.ID, Code: "order_status_cross_a", Name: "Tenant A", Status: consts.TenantStatusVerified}
+		tenantB := &models.Tenant{UserID: buyer.ID, Code: "order_status_cross_b", Name: "Tenant B", Status: consts.TenantStatusVerified}
+		So(models.TenantQuery.WithContext(ctx).Create(tenantA, tenantB), ShouldBeNil)
+
+		order := &models.Order{
+			TenantID: tenantA.ID,
+			UserID:   buyer.ID,
+			Type:     consts.OrderTypeContentPurchase,
+			Status:   consts.OrderStatusCreated,
+		}
+		So(models.OrderQuery.WithContext(ctx).Create(order), ShouldBeNil)
+
+		_, err := Order.Status(ctx, tenantB.ID, buyer.ID, order.ID)
+		So(err, ShouldNotBeNil)
+
+		var appErr *errorx.AppError
+		So(errors.As(err, &appErr), ShouldBeTrue)
+		So(appErr.Code, ShouldEqual, errorx.ErrForbidden.Code)
+	})
+}
--- a/backend/app/services/tenant_member_test.go
+++ b/backend/app/services/tenant_member_test.go
@@ -216,6 +216,27 @@ func (s *TenantTestSuite) Test_ReviewJoin() {
 			So(err, ShouldBeNil)
 			So(req.Status, ShouldEqual, string(consts.TenantJoinRequestStatusRejected))
 		})
+
+		Convey("should deny review when request belongs to another tenant", func() {
+			tenantA, _, _, reqA := setup()
+
+			ownerB := &models.User{Username: "owner_review_cross_b", Phone: "13900009991"}
+			So(models.UserQuery.WithContext(ctx).Create(ownerB), ShouldBeNil)
+			tenantB := &models.Tenant{Name: "Tenant Review B", Code: "tenant_review_cross_b", UserID: ownerB.ID, Status: consts.TenantStatusVerified}
+			So(models.TenantQuery.WithContext(ctx).Create(tenantB), ShouldBeNil)
+
+			err := Tenant.ReviewJoin(ctx, tenantB.ID, ownerB.ID, reqA.ID, &tenant_dto.TenantJoinReviewForm{Action: "approve"})
+			So(err, ShouldNotBeNil)
+
+			var appErr *errorx.AppError
+			So(errors.As(err, &appErr), ShouldBeTrue)
+			So(appErr.Code, ShouldEqual, errorx.ErrForbidden.Code)
+
+			reqReload, err := models.TenantJoinRequestQuery.WithContext(ctx).Where(models.TenantJoinRequestQuery.ID.Eq(reqA.ID)).First()
+			So(err, ShouldBeNil)
+			So(reqReload.TenantID, ShouldEqual, tenantA.ID)
+			So(reqReload.Status, ShouldEqual, string(consts.TenantJoinRequestStatusPending))
+		})
 	})
 }

@@ -352,54 +373,132 @@ func (s *TenantTestSuite) Test_ListMembersAndRemove() {
 		So(err, ShouldBeNil)
 		So(exists, ShouldBeFalse)
 	})
+
+	Convey("should deny removing member from another tenant", s.T(), func() {
+		ctx := s.T().Context()
+		database.Truncate(ctx, s.DB,
+			models.TableNameTenantUser,
+			models.TableNameTenant,
+			models.TableNameUser,
+		)
+
+		ownerA := &models.User{Username: "owner_remove_a", Phone: "13900007771"}
+		ownerB := &models.User{Username: "owner_remove_b", Phone: "13900007772"}
+		memberA := &models.User{Username: "member_remove_a", Phone: "13900007773"}
+		So(models.UserQuery.WithContext(ctx).Create(ownerA, ownerB, memberA), ShouldBeNil)
+
+		tenantA := &models.Tenant{Name: "Tenant Remove A", Code: "tenant_remove_cross_a", UserID: ownerA.ID, Status: consts.TenantStatusVerified}
+		tenantB := &models.Tenant{Name: "Tenant Remove B", Code: "tenant_remove_cross_b", UserID: ownerB.ID, Status: consts.TenantStatusVerified}
+		So(models.TenantQuery.WithContext(ctx).Create(tenantA, tenantB), ShouldBeNil)
+
+		memberLinkA := &models.TenantUser{
+			TenantID: tenantA.ID,
+			UserID:   memberA.ID,
+			Role:     types.Array[consts.TenantUserRole]{consts.TenantUserRoleMember},
+			Status:   consts.UserStatusVerified,
+		}
+		So(models.TenantUserQuery.WithContext(ctx).Create(memberLinkA), ShouldBeNil)
+
+		err := Tenant.RemoveMember(ctx, tenantB.ID, ownerB.ID, memberLinkA.ID)
+		So(err, ShouldNotBeNil)
+
+		var appErr *errorx.AppError
+		So(errors.As(err, &appErr), ShouldBeTrue)
+		So(appErr.Code, ShouldEqual, errorx.ErrForbidden.Code)
+
+		exists, err := models.TenantUserQuery.WithContext(ctx).Where(models.TenantUserQuery.ID.Eq(memberLinkA.ID)).Exists()
+		So(err, ShouldBeNil)
+		So(exists, ShouldBeTrue)
+	})
 }

 func (s *TenantTestSuite) Test_ListInvitesAndDisable() {
 	Convey("ListInvites and DisableInvite", s.T(), func() {
 		ctx := s.T().Context()

-		database.Truncate(ctx, s.DB,
-			models.TableNameTenantInvite,
-			models.TableNameTenant,
-			models.TableNameUser,
-		)
+		Convey("should list and disable invite in same tenant", func() {
+			database.Truncate(ctx, s.DB,
+				models.TableNameTenantInvite,
+				models.TableNameTenant,
+				models.TableNameUser,
+			)

-		owner := &models.User{Username: "owner_invite", Phone: "13900002003"}
-		_ = models.UserQuery.WithContext(ctx).Create(owner)
+			owner := &models.User{Username: "owner_invite", Phone: "13900002003"}
+			_ = models.UserQuery.WithContext(ctx).Create(owner)

-		tenant := &models.Tenant{
-			Name:   "Tenant Invite",
-			UserID: owner.ID,
-			Status: consts.TenantStatusVerified,
-		}
-		_ = models.TenantQuery.WithContext(ctx).Create(tenant)
+			tenant := &models.Tenant{
+				Name:   "Tenant Invite",
+				UserID: owner.ID,
+				Status: consts.TenantStatusVerified,
+			}
+			_ = models.TenantQuery.WithContext(ctx).Create(tenant)

-		invite := &models.TenantInvite{
-			TenantID:  tenant.ID,
-			UserID:    owner.ID,
-			Code:      "invite_list",
-			Status:    string(consts.TenantInviteStatusActive),
-			MaxUses:   2,
-			UsedCount: 0,
-			ExpiresAt: time.Now().Add(24 * time.Hour),
-			Remark:    "测试邀请",
-		}
-		_ = models.TenantInviteQuery.WithContext(ctx).Create(invite)
+			invite := &models.TenantInvite{
+				TenantID:  tenant.ID,
+				UserID:    owner.ID,
+				Code:      "invite_list",
+				Status:    string(consts.TenantInviteStatusActive),
+				MaxUses:   2,
+				UsedCount: 0,
+				ExpiresAt: time.Now().Add(24 * time.Hour),
+				Remark:    "测试邀请",
+			}
+			_ = models.TenantInviteQuery.WithContext(ctx).Create(invite)

-		res, err := Tenant.ListInvites(ctx, tenant.ID, owner.ID, &tenant_dto.TenantInviteListFilter{
-			Pagination: requests.Pagination{Page: 1, Limit: 10},
+			res, err := Tenant.ListInvites(ctx, tenant.ID, owner.ID, &tenant_dto.TenantInviteListFilter{
+				Pagination: requests.Pagination{Page: 1, Limit: 10},
+			})
+			So(err, ShouldBeNil)
+			So(res.Total, ShouldEqual, 1)
+
+			err = Tenant.DisableInvite(ctx, tenant.ID, owner.ID, invite.ID)
+			So(err, ShouldBeNil)
+
+			updated, err := models.TenantInviteQuery.WithContext(ctx).
+				Where(models.TenantInviteQuery.ID.Eq(invite.ID)).
+				First()
+			So(err, ShouldBeNil)
+			So(updated.Status, ShouldEqual, string(consts.TenantInviteStatusDisabled))
 		})
-		So(err, ShouldBeNil)
-		So(res.Total, ShouldEqual, 1)

-		err = Tenant.DisableInvite(ctx, tenant.ID, owner.ID, invite.ID)
-		So(err, ShouldBeNil)
+		Convey("should deny disabling invite from another tenant", func() {
+			database.Truncate(ctx, s.DB,
+				models.TableNameTenantInvite,
+				models.TableNameTenant,
+				models.TableNameUser,
+			)

-		updated, err := models.TenantInviteQuery.WithContext(ctx).
-			Where(models.TenantInviteQuery.ID.Eq(invite.ID)).
-			First()
-		So(err, ShouldBeNil)
-		So(updated.Status, ShouldEqual, string(consts.TenantInviteStatusDisabled))
+			ownerA := &models.User{Username: "owner_invite_a", Phone: "13900008881"}
+			ownerB := &models.User{Username: "owner_invite_b", Phone: "13900008882"}
+			So(models.UserQuery.WithContext(ctx).Create(ownerA, ownerB), ShouldBeNil)
+
+			tenantA := &models.Tenant{Name: "Tenant Invite A", Code: "tenant_invite_cross_a", UserID: ownerA.ID, Status: consts.TenantStatusVerified}
+			tenantB := &models.Tenant{Name: "Tenant Invite B", Code: "tenant_invite_cross_b", UserID: ownerB.ID, Status: consts.TenantStatusVerified}
+			So(models.TenantQuery.WithContext(ctx).Create(tenantA, tenantB), ShouldBeNil)
+
+			inviteA := &models.TenantInvite{
+				TenantID:  tenantA.ID,
+				UserID:    ownerA.ID,
+				Code:      "invite_cross_disable",
+				Status:    string(consts.TenantInviteStatusActive),
+				MaxUses:   2,
+				UsedCount: 0,
+				ExpiresAt: time.Now().Add(24 * time.Hour),
+				Remark:    "跨租户禁用测试",
+			}
+			So(models.TenantInviteQuery.WithContext(ctx).Create(inviteA), ShouldBeNil)
+
+			err := Tenant.DisableInvite(ctx, tenantB.ID, ownerB.ID, inviteA.ID)
+			So(err, ShouldNotBeNil)
+
+			var appErr *errorx.AppError
+			So(errors.As(err, &appErr), ShouldBeTrue)
+			So(appErr.Code, ShouldEqual, errorx.ErrForbidden.Code)
+
+			reloaded, err := models.TenantInviteQuery.WithContext(ctx).Where(models.TenantInviteQuery.ID.Eq(inviteA.ID)).First()
+			So(err, ShouldBeNil)
+			So(reloaded.Status, ShouldEqual, string(consts.TenantInviteStatusActive))
+		})
 	})
 }

--- a/backend/docs/docs.go
+++ b/backend/docs/docs.go
--- a/backend/docs/swagger.json
+++ b/backend/docs/swagger.json
--- a/backend/docs/swagger.yaml
+++ b/backend/docs/swagger.yaml
--- a/backend/providers/http/config.go
+++ b/backend/providers/http/config.go
@@ -2,6 +2,7 @@ package http

 import (
 	"fmt"
+	"strings"
 )

 const DefaultPrefix = "Http"
@@ -60,3 +61,11 @@ func (h *Config) Address() string {

 	return fmt.Sprintf("%s:%d", h.Host, h.Port)
 }
+
+func (h *Config) HasTLS() bool {
+	if h == nil || h.TLS == nil {
+		return false
+	}
+
+	return strings.TrimSpace(h.TLS.Cert) != "" && strings.TrimSpace(h.TLS.Key) != ""
+}
--- a/backend/providers/http/engine.go
+++ b/backend/providers/http/engine.go
@@ -2,6 +2,7 @@ package http

 import (
 	"context"
+	"database/sql"
 	"errors"
 	"fmt"
 	"net"
@@ -9,9 +10,13 @@ import (
 	"strings"
 	"time"

+	"quyun/v2/app/errorx"
+	"quyun/v2/providers/storage"
+
 	logrus "github.com/sirupsen/logrus"
 	"go.ipao.vip/atom/container"
 	"go.ipao.vip/atom/opt"
+	"go.uber.org/dig"

 	"github.com/gofiber/fiber/v3"
 	"github.com/gofiber/fiber/v3/middleware/compress"
@@ -22,8 +27,6 @@ import (
 	"github.com/gofiber/fiber/v3/middleware/recover"
 	"github.com/gofiber/fiber/v3/middleware/requestid"
 	"github.com/samber/lo"
-
-	"quyun/v2/app/errorx"
 )

 func DefaultProvider() container.ProviderContainer {
@@ -36,8 +39,10 @@ func DefaultProvider() container.ProviderContainer {
 }

 type Service struct {
-	conf   *Config
-	Engine *fiber.App
+	conf        *Config
+	Engine      *fiber.App
+	healthCheck func(context.Context) error
+	readyCheck  func(context.Context) error
 }

 var errTLSCertKeyRequired = errors.New("tls cert and key must be set")
@@ -98,7 +103,11 @@ func Provide(opts ...opt.Option) error {
 		return err
 	}

-	return container.Container.Provide(func() (*Service, error) {
+	return container.Container.Provide(func(params struct {
+		dig.In
+		DB      *sql.DB          `optional:"true"`
+		Storage *storage.Storage `optional:"true"`
+	}) (*Service, error) {
 		engine := fiber.New(fiber.Config{
 			StrictRouting:      true,
 			CaseSensitive:      true,
@@ -198,8 +207,14 @@ func Provide(opts ...opt.Option) error {
 			}))
 		}

-		engine.Get("/healthz", func(c fiber.Ctx) error { return c.SendStatus(fiber.StatusNoContent) })
-		engine.Get("/readyz", func(c fiber.Ctx) error { return c.SendStatus(fiber.StatusNoContent) })
+		service := &Service{
+			Engine: engine,
+			conf:   &config,
+		}
+		service.healthCheck = service.buildHealthCheck()
+		service.readyCheck = service.buildReadyCheck(params.DB, params.Storage)
+		engine.Get("/healthz", service.handleHealthz)
+		engine.Get("/readyz", service.handleReadyz)

 		engine.Hooks().OnPostShutdown(func(err error) error {
 			if err != nil {
@@ -210,14 +225,72 @@ func Provide(opts ...opt.Option) error {
 			return nil
 		})

-		return &Service{
-			Engine: engine,
-			conf:   &config,
-		}, nil
+		return service, nil
 	}, o.DiOptions()...)
 }

 // buildCORSConfig converts provider Cors config into fiber cors.Config
+func (svc *Service) buildHealthCheck() func(context.Context) error {
+	return func(_ context.Context) error {
+		return nil
+	}
+}
+
+func (svc *Service) buildReadyCheck(db *sql.DB, store *storage.Storage) func(context.Context) error {
+	var dbPing func(context.Context) error
+	if db != nil {
+		dbPing = func(ctx context.Context) error {
+			pingCtx, cancel := context.WithTimeout(ctx, 1500*time.Millisecond)
+			defer cancel()
+
+			return db.PingContext(pingCtx)
+		}
+	}
+
+	return newReadyCheck(dbPing, store)
+}
+
+func newReadyCheck(dbPing func(context.Context) error, store *storage.Storage) func(context.Context) error {
+	return func(ctx context.Context) error {
+		if dbPing != nil {
+			if err := dbPing(ctx); err != nil {
+				return errorx.ErrServiceUnavailable.WithCause(err).WithMsg("database not ready")
+			}
+		}
+		if store != nil && store.Config != nil && strings.EqualFold(strings.TrimSpace(store.Config.Type), "s3") && store.Config.CheckOnBoot {
+			if strings.TrimSpace(store.Config.Endpoint) == "" || strings.TrimSpace(store.Config.Bucket) == "" {
+				return errorx.ErrServiceUnavailable.WithMsg("storage not ready")
+			}
+		}
+
+		return nil
+	}
+}
+
+func (svc *Service) handleHealthz(c fiber.Ctx) error {
+	ctx, cancel := context.WithTimeout(context.Background(), 2*time.Second)
+	defer cancel()
+	if svc.healthCheck != nil {
+		if err := svc.healthCheck(ctx); err != nil {
+			return errorx.SendError(c, err)
+		}
+	}
+
+	return c.SendStatus(fiber.StatusNoContent)
+}
+
+func (svc *Service) handleReadyz(c fiber.Ctx) error {
+	ctx, cancel := context.WithTimeout(context.Background(), 2*time.Second)
+	defer cancel()
+	if svc.readyCheck != nil {
+		if err := svc.readyCheck(ctx); err != nil {
+			return errorx.SendError(c, err)
+		}
+	}
+
+	return c.SendStatus(fiber.StatusNoContent)
+}
+
 func buildCORSConfig(c *Cors) *cors.Config {
 	if c == nil {
 		return nil
--- a/backend/providers/http/engine_test.go
+++ b/backend/providers/http/engine_test.go
@@ -0,0 +1,52 @@
+package http
+
+import (
+	"context"
+	"errors"
+	"testing"
+
+	"quyun/v2/providers/storage"
+)
+
+func TestNewReadyCheck(t *testing.T) {
+	t.Run("returns error when database ping fails", func(t *testing.T) {
+		checker := newReadyCheck(func(context.Context) error {
+			return errors.New("db down")
+		}, nil)
+
+		err := checker(context.Background())
+		if err == nil {
+			t.Fatalf("expected readiness error when db ping fails")
+		}
+	})
+
+	t.Run("returns error when s3 storage config is incomplete and check on boot enabled", func(t *testing.T) {
+		checker := newReadyCheck(nil, &storage.Storage{Config: &storage.Config{
+			Type:        "s3",
+			CheckOnBoot: true,
+			Endpoint:    "",
+			Bucket:      "",
+		}})
+
+		err := checker(context.Background())
+		if err == nil {
+			t.Fatalf("expected readiness error when storage config is incomplete")
+		}
+	})
+
+	t.Run("returns nil when dependencies are ready", func(t *testing.T) {
+		checker := newReadyCheck(func(context.Context) error {
+			return nil
+		}, &storage.Storage{Config: &storage.Config{
+			Type:        "s3",
+			CheckOnBoot: true,
+			Endpoint:    "http://127.0.0.1:9000",
+			Bucket:      "bucket",
+		}})
+
+		err := checker(context.Background())
+		if err != nil {
+			t.Fatalf("expected nil error, got %v", err)
+		}
+	})
+}
--- a/backend/providers/postgres/config.go
+++ b/backend/providers/postgres/config.go
@@ -4,6 +4,7 @@ import (
 	"fmt"
 	"math"
 	"strconv"
+	"strings"
 	"time"

 	"go.ipao.vip/atom/container"
@@ -92,6 +93,8 @@ func (config *Config) checkDefault() {

 	if config.SslMode == "" {
 		config.SslMode = "disable"
+	} else {
+		config.SslMode = strings.ToLower(strings.TrimSpace(config.SslMode))
 	}

 	if config.TimeZone == "" {
@@ -141,3 +144,9 @@ func (config *Config) DSN() string {

 	return base + extras
 }
+
+func (config *Config) IsTLSEnabled() bool {
+	mode := strings.ToLower(strings.TrimSpace(config.SslMode))
+
+	return mode != "" && mode != "disable"
+}
--- a/backend/providers/postgres/postgres.go
+++ b/backend/providers/postgres/postgres.go
@@ -3,12 +3,16 @@ package postgres
 import (
 	"context"
 	"database/sql"
+	"fmt"
 	"math"
 	"time"

+	"quyun/v2/providers/app"
+
 	logrus "github.com/sirupsen/logrus"
 	"go.ipao.vip/atom/container"
 	"go.ipao.vip/atom/opt"
+	"go.uber.org/dig"
 	"gorm.io/driver/postgres"
 	"gorm.io/gorm"
 	"gorm.io/gorm/logger"
@@ -22,7 +26,13 @@ func Provide(opts ...opt.Option) error {
 		return err
 	}

-	return container.Container.Provide(func() (*gorm.DB, *sql.DB, *Config, error) {
+	return container.Container.Provide(func(params struct {
+		dig.In
+		App *app.Config `optional:"true"`
+	}) (*gorm.DB, *sql.DB, *Config, error) {
+		if params.App != nil && params.App.IsReleaseMode() && !conf.IsTLSEnabled() {
+			return nil, nil, nil, fmt.Errorf("release mode requires Database.SslMode to enable TLS")
+		}
 		dbConfig := postgres.Config{DSN: conf.DSN()}

 		// 安全日志：不打印密码，仅输出关键连接信息
--- a/docs/backup_restore_runbook.md
+++ b/docs/backup_restore_runbook.md
@@ -0,0 +1,168 @@
+# Backup / Restore Runbook (Pre-Prod & Prod)
+
+## 1. Scope
+
+适用于 `quyun_v2` 的以下状态数据：
+- PostgreSQL（业务主数据）
+- 对象存储目录（本地存储或 S3 兼容对象）
+- 关键运行配置快照（不含明文 secret）
+
+本 Runbook 目标：
+1. 能稳定执行备份
+2. 能在预发环境完成恢复
+3. 有明确 RTO / RPO 验证步骤
+
+---
+
+## 2. Preconditions
+
+- 拥有数据库备份权限（`pg_dump` / `psql`）
+- 拥有对象存储读写权限（本地目录或 S3 API）
+- 预发环境可用并与生产版本兼容
+- 已确认以下变量（示例）：
+
+```bash
+export QY_DB_HOST=127.0.0.1
+export QY_DB_PORT=5432
+export QY_DB_NAME=quyun_v2
+export QY_DB_USER=postgres
+export QY_DB_PASSWORD='***'
+```
+
+---
+
+## 3. PostgreSQL Backup
+
+### 3.1 创建备份目录
+
+```bash
+mkdir -p /tmp/quyun-backup
+```
+
+### 3.2 导出数据库（自定义格式）
+
+```bash
+PGPASSWORD="$QY_DB_PASSWORD" \
+pg_dump -h "$QY_DB_HOST" -p "$QY_DB_PORT" -U "$QY_DB_USER" \
+  -F c -d "$QY_DB_NAME" \
+  -f "/tmp/quyun-backup/${QY_DB_NAME}_$(date +%Y%m%d_%H%M%S).dump"
+```
+
+### 3.3 备份完整性校验
+
+```bash
+pg_restore -l /tmp/quyun-backup/<backup-file>.dump >/tmp/quyun-backup/restore.list
+```
+
+验收标准：命令退出码为 0，且 `restore.list` 非空。
+
+---
+
+## 4. Object Storage Backup
+
+## 4.1 本地存储（`Storage.Type=local`）
+
+```bash
+tar -czf "/tmp/quyun-backup/storage_$(date +%Y%m%d_%H%M%S).tar.gz" ./backend/storage
+```
+
+### 4.2 S3/MinIO（`Storage.Type=s3`）
+
+使用 `mc`（MinIO Client）示例：
+
+```bash
+mc alias set quyun-s3 http://127.0.0.1:9000 "$STORAGE_ACCESS_KEY" "$STORAGE_SECRET_KEY"
+mc mirror quyun-s3/quyun-01 "/tmp/quyun-backup/s3_quyun-01_$(date +%Y%m%d_%H%M%S)"
+```
+
+验收标准：目标目录文件数量 > 0，且抽样对象可读取。
+
+---
+
+## 5. Restore Procedure (Pre-Prod Drill)
+
+### 5.1 预发库准备
+
+```bash
+PGPASSWORD="$QY_DB_PASSWORD" \
+psql -h "$QY_DB_HOST" -p "$QY_DB_PORT" -U "$QY_DB_USER" -d postgres \
+  -c "DROP DATABASE IF EXISTS ${QY_DB_NAME}_restore;"
+
+PGPASSWORD="$QY_DB_PASSWORD" \
+psql -h "$QY_DB_HOST" -p "$QY_DB_PORT" -U "$QY_DB_USER" -d postgres \
+  -c "CREATE DATABASE ${QY_DB_NAME}_restore;"
+```
+
+### 5.2 恢复数据库
+
+```bash
+PGPASSWORD="$QY_DB_PASSWORD" \
+pg_restore -h "$QY_DB_HOST" -p "$QY_DB_PORT" -U "$QY_DB_USER" \
+  -d "${QY_DB_NAME}_restore" --clean --if-exists \
+  "/tmp/quyun-backup/<backup-file>.dump"
+```
+
+### 5.3 恢复后校验
+
+```bash
+PGPASSWORD="$QY_DB_PASSWORD" \
+psql -h "$QY_DB_HOST" -p "$QY_DB_PORT" -U "$QY_DB_USER" -d "${QY_DB_NAME}_restore" \
+  -c "SELECT COUNT(*) FROM users;"
+
+PGPASSWORD="$QY_DB_PASSWORD" \
+psql -h "$QY_DB_HOST" -p "$QY_DB_PORT" -U "$QY_DB_USER" -d "${QY_DB_NAME}_restore" \
+  -c "SELECT COUNT(*) FROM audit_logs;"
+```
+
+验收标准：
+- 核心表（`users`, `orders`, `audit_logs`, `contents`）有合理数据量
+- 抽样业务查询无语法或权限错误
+
+---
+
+## 6. Service Verification After Restore
+
+启动服务后执行：
+
+```bash
+curl -f -sS http://127.0.0.1:18080/healthz
+curl -f -sS http://127.0.0.1:18080/readyz
+```
+
+验收标准：两个端点均返回 2xx。
+
+---
+
+## 7. RTO / RPO Recording
+
+每次演练记录：
+- Backup start/end time
+- Restore start/end time
+- Data validation result
+- Incident / blockers
+
+建议目标：
+- RTO <= 30 分钟
+- RPO <= 24 小时（按日备份基线）
+
+---
+
+## 8. Failure Handling
+
+- `pg_dump` 失败：检查网络/权限/磁盘空间，重试一次
+- `pg_restore` 失败：保留日志，回退至原预发库，不进行覆盖发布
+- 对象恢复失败：仅允许在“非阻断业务路径”条件下继续演练，否则中止
+
+---
+
+## 9. Evidence Requirement
+
+每次演练需归档到：
+- `docs/release-evidence/<date>.md`
+
+最少包含：
+1. 执行人、时间窗
+2. 命令与退出码
+3. 核心校验 SQL 输出
+4. healthz/readyz 结果
+5. 结论（PASS/FAIL）
--- a/docs/go_live_steps.md
+++ b/docs/go_live_steps.md
@@ -0,0 +1,171 @@
+# 生产上线步骤文档（Go-Live SOP）
+
+## 1. 目的与范围
+
+本文用于指导 `quyun_v2` 的生产发布，覆盖：
+- Backend（Go/Fiber）
+- Frontend（portal / superadmin）
+- 数据库迁移、健康检查、页面流验收、回滚触发
+
+适用于常规功能发布与 P0/P1 缺陷修复发布。
+
+---
+
+## 2. 上线角色
+
+- **Release Owner**：发布总控、Go/No-Go 决策
+- **Backend Owner**：后端发布、migration、健康检查
+- **Frontend Owner**：前端发布、页面流验证
+- **QA Owner**：验收证据收集与签核
+
+---
+
+## 3. 上线前门禁（必须全部通过）
+
+## 3.1 代码门禁
+
+```bash
+# backend
+cd backend && go test ./...
+
+# frontend
+npm -C frontend/portal run lint
+npm -C frontend/portal run build
+npm -C frontend/superadmin run lint
+npm -C frontend/superadmin run build
+```
+
+## 3.2 CI 门禁
+
+- `backend/.gitea/workflows/build.yml` 全部 Job 通过：
+  - FrontendChecks
+  - BackendChecks
+  - DockerImage
+
+## 3.3 配置门禁
+
+- `backend/config.prod.toml` 中敏感值必须来自部署 Secret 注入（非明文）
+- release 模式 DB 必须 TLS（`Database.SslMode=require/verify-*`）
+
+---
+
+## 4. 上线执行步骤（按顺序）
+
+## Step 0：变更冻结与版本确认
+
+1. 确认待发 commit / tag。
+2. 冻结主干高风险变更（发布窗口内禁止插入新功能）。
+3. 在发布群同步时间窗与负责人。
+
+## Step 1：备份（发布前）
+
+按 `docs/backup_restore_runbook.md` 执行：
+- PostgreSQL 备份（`pg_dump`）
+- 对象存储备份（local tar / S3 mirror）
+- 记录备份文件路径与时间戳
+
+> 任一步失败，停止发布。
+
+## Step 2：部署后端
+
+1. 发布 backend 新版本（镜像/二进制）。
+2. 若包含 migration，先在发布流程中执行：
+
+```bash
+cd backend
+go run . migrate up
+```
+
+3. 启动服务并检查：
+
+```bash
+curl -f -sS http://<backend-host>:<port>/healthz
+curl -f -sS http://<backend-host>:<port>/readyz
+```
+
+要求：两者均返回 2xx。
+
+## Step 3：部署前端（portal/superadmin）
+
+1. 发布 portal 产物。
+2. 发布 superadmin 产物。
+3. 如有 CDN，执行缓存刷新。
+
+## Step 4：功能验收（页面流）
+
+至少覆盖：
+- portal：首页加载、登录后核心业务页（如订单/内容）
+- superadmin：登录页、关键列表页
+
+要求：
+- 页面可渲染，无致命报错
+- 与后端联调正常
+- 截图入证据目录：`docs/release-evidence/<date>/`
+
+## Step 5：发布确认（Go/No-Go）
+
+Release Owner 汇总以下证据：
+- 测试与构建结果
+- healthz/readyz 结果
+- 页面流验证结果
+- 备份完成证明
+
+满足后执行 **Go**；否则 **No-Go** 并触发回滚。
+
+---
+
+## 5. 发布后观察（至少 30 分钟）
+
+重点监控：
+- 错误率、超时率、5xx
+- 接口成功率与 P95 延迟
+- 关键业务转化（登录、下单、支付、审计查询）
+
+若出现异常且 15 分钟内无法恢复，触发回滚。
+
+---
+
+## 6. 回滚触发与执行
+
+触发条件（任一满足）：
+- healthz/readyz 持续失败
+- 关键业务流中断
+- 错误率异常上升
+
+执行参考：`docs/rollback_runbook.md`
+
+回滚后必须再次验证：
+- `/healthz`、`/readyz`
+- portal/superadmin 关键页面
+- 关键业务链路
+
+---
+
+## 7. 证据归档要求
+
+发布完成后，更新：
+- `docs/release-evidence/<date>.md`
+
+最少包含：
+1. 发布版本/commit
+2. 门禁结果（测试、构建、CI）
+3. 备份与恢复点
+4. healthz/readyz 检查结果
+5. 页面流验证截图路径
+6. 最终结论（Go / No-Go）
+
+---
+
+## 8. 一键检查清单（简版）
+
+- [ ] backend `go test ./...` pass
+- [ ] portal lint/build pass
+- [ ] superadmin lint/build pass
+- [ ] CI workflow 全绿
+- [ ] 发布前备份完成
+- [ ] backend 发布成功
+- [ ] healthz/readyz 正常
+- [ ] frontend 发布成功
+- [ ] 页面流验收通过
+- [ ] 证据归档完成
+- [ ] 观察期无异常
--- a/docs/plan.md
+++ b/docs/plan.md
@@ -1,147 +0,0 @@
-# Implementation Plan: v1 Creator 路由恢复与闭环验证
-
-**Branch**: `[current-working-branch]` | **Date**: 2026-02-07 | **Spec**: 会话需求（修复 `/v1/t/:tenantCode/creator/*` 404）
-**Input**: 用户需求：开始修复 Creator 路由缺失问题，恢复 Portal 创作者中心 API 可用性并完成回归验证。
-
-## Summary
-
-当前 `backend/app/http/v1/creator.go` 仅保留 `GrantCoupon` 方法，但注释块包含大量与该方法签名不匹配的 `@Router` 声明，导致 `atomctl gen route` 未生成任何 `/v1/t/:tenantCode/creator/*` 路由。计划将按“前端真实调用路径 -> 后端服务能力 -> 控制器显式方法”逐项恢复，最小改动修复，随后通过路由生成、Go 测试与关键 API 冒烟验证闭环。
-
-## Technical Context
-
-**Language/Version**:
- Backend: Go (Fiber + GORM-Gen)
- Frontend reference: Vue 3（仅用于接口映射，不改前端）
-
-**Primary Dependencies**:
- `atomctl gen route`（路由生成）
- `backend/app/services`（Creator/Tenant/Coupon 服务）
- `backend/app/http/v1/dto`（Creator 与 TenantMember DTO）
-
-**Storage**: PostgreSQL（使用现有 schema 与 seed 数据）
-
-**Testing**:
- `cd backend && env GOCACHE=$PWD/.gocache GOTMPDIR=$PWD/.gotmp go test ./...`
- API 冒烟：`/v1/t/:tenantCode/creator/orders` 等关键路径不再 404
-
-**Target Platform**: Linux 本地环境（backend: `127.0.0.1:18080`）
-
-**Project Type**: Web backend API
-
-**Performance Goals**:
- 本次以功能恢复为目标，不新增性能指标
-
-**Constraints**:
- 不手改任何 `*.gen.go`
- 控制器保持薄层（参数绑定 -> services.* -> 返回）
- 路由参数使用 `camelCase`，数值 path 参数使用 `:id<int>`
- 仅做最小修复，不做与问题无关重构
-
-**Scale/Scope**:
- 仅修复 `backend/app/http/v1/creator.go` 路由缺失问题
- 影响生成文件：`backend/app/http/v1/routes.gen.go`（通过生成器更新）
- 更新回归记录：`docs/test-matrix.md`
-
-## Constitution Check
-
-*GATE: Must pass before Phase 0 research. Re-check after Phase 1 design.*
-
- ✅ 控制器薄层：方法将仅负责绑定和调用 service。
- ✅ 生成文件规范：仅通过 `atomctl gen route` 更新路由生成文件。
- ✅ 事务与数据访问边界：不在 controller 做任何 DB 操作。
- ✅ 验证要求：包含 `go test ./...` + 关键页面流 API 冒烟证据。
-
-## Project Structure
-
-### Documentation (this feature)
-
-```text
-docs/
-├── plan.md                 # 当前计划（本文件）
-└── test-matrix.md          # 回归记录更新
-```
-
-### Source Code (repository root)
-
-```text
-backend/
-├── app/http/v1/
-│   ├── creator.go          # 本次主要修复文件
-│   └── routes.gen.go       # 由 atomctl 生成
-├── app/http/v1/dto/
-│   ├── creator.go
-│   ├── creator_report.go
-│   └── tenant_member.go
-└── app/services/
-    ├── creator.go
-    ├── creator_report.go
-    ├── tenant_member.go
-    └── coupon.go
-
-frontend/portal/
-└── src/api/creator.js      # 仅用于接口映射核对
-```
-
-**Structure Decision**: 使用现有后端 v1 模块结构，控制器集中恢复，服务层复用现有能力，不新增新模块。
-
-## Plan Phases
-
-### Phase 1 — 路由映射与控制器设计
- 依据 `frontend/portal/src/api/creator.js` 提取全部 `/creator/*` 调用。
- 将调用映射到现有 service 方法（Creator/Tenant/Coupon）。
- 为每个 endpoint 设计独立 controller 方法与准确 `@Router/@Bind`。
-
-### Phase 2 — 控制器实现与路由生成
- 重写 `backend/app/http/v1/creator.go`：一条路由一个方法，去除“多路由堆在单方法注释”反模式。
- 执行 `atomctl gen route`，确认 `routes.gen.go` 产出完整 `/v1/t/:tenantCode/creator/*` 注册项。
-
-### Phase 3 — 回归验证与文档更新
- 运行 `go test ./...`。
- 用 token 对至少以下接口冒烟：
-  - `GET /v1/t/:tenantCode/creator/orders`
-  - `GET /v1/t/:tenantCode/creator/contents`
-  - `GET /v1/t/:tenantCode/creator/settings`
- 将修复结果与证据补充到 `docs/test-matrix.md`。
-
-## Tasks
-
- [ ] T1 从 `frontend/portal/src/api/creator.js` 提取 endpoint 清单并建立 service 映射。
- [ ] T2 在 `backend/app/http/v1/creator.go` 实现 creator 核心接口：apply/dashboard/contents/orders/settings/payout/withdraw。
- [ ] T3 在 `backend/app/http/v1/creator.go` 实现成员与邀请相关接口：members/invites/join-requests/review。
- [ ] T4 在 `backend/app/http/v1/creator.go` 实现优惠券相关接口：list/get/create/update/grant。
- [ ] T5 在 `backend/app/http/v1/creator.go` 实现报表相关接口：reports/overview 与 reports/export。
- [ ] T6 执行 `atomctl gen route` 并确认 `/creator/*` 路由已注册。
- [ ] T7 执行 `go test ./...`，修复由本次改动引入的问题。
- [ ] T8 执行 Creator 关键接口冒烟并记录结果。
- [ ] T9 更新 `docs/test-matrix.md` 记录 Creator 修复闭环结果。
-
-## Dependencies
-
- T1 -> T2/T3/T4/T5（先映射后编码）
- T2/T3/T4/T5 -> T6（代码落地后生成路由）
- T6 -> T7/T8（先确认路由注册，再跑测试与冒烟）
- T7/T8 -> T9（测试证据写入文档）
-
-## Acceptance Criteria
-
-1. `backend/app/http/v1/routes.gen.go` 中存在并注册 `/v1/t/:tenantCode/creator/*` 对应路由。
-2. `GET /v1/t/:tenantCode/creator/orders` 不再返回 404（认证通过前提下）。
-3. `go test ./...` 通过（若有历史失败，需明确标注非本次引入）。
-4. `docs/test-matrix.md` 新增 Creator 路由修复结果与可复现命令。
-
-## Risks
-
- **DTO 不匹配风险**：部分接口需复用 `tenant_member` DTO，可能出现绑定字段不一致。
-  - 缓解：按现有 service 签名逐项对齐 `@Bind`。
-
- **路由冲突风险**：新增 `/creator/*` 可能与其他路径发生顺序/匹配冲突。
-  - 缓解：依赖生成器产出并通过启动日志核对注册项。
-
- **权限语义偏差风险**：Controller 恢复后可能暴露 service 内已有“仅租户主”限制，导致与前端预期不一致。
-  - 缓解：先恢复 404 问题；权限语义差异单独记录为后续优化项。
-
-## Complexity Tracking
-
-| Violation | Why Needed | Simpler Alternative Rejected Because |
-|-----------|------------|-------------------------------------|
-| N/A | N/A | N/A |
--- a/docs/plans/2026-02-09.md
+++ b/docs/plans/2026-02-09.md
@@ -0,0 +1,188 @@
+# Implementation Plan: 生产级部署能力 P0 补齐（两周）
+
+**Branch**: `[prod-p0-hardening]` | **Date**: 2026-02-09 | **Spec**: 当前会话需求（生产部署能力评估后的整改计划）
+**Input**: 基于当前评估结果（12/24，50%）制定 P0 硬化计划，目标达到可审签上线门槛。
+
+## Summary
+
+本阶段聚焦“可发布但未完全生产就绪”的关键缺口，按 P0 优先级补齐以下 5 项：
+
+1. Secrets 治理：移除/替换仓库中生产明文敏感配置，完成密钥轮换与注入规范。
+2. 生产数据库 TLS 强制：release 模式下禁止 `sslmode=disable`。
+3. CI/CD 强门禁：强制 backend `go test ./...`、frontend lint(check-only)+build、最小 smoke 验证。
+4. 备份恢复与回滚闭环：形成 runbook 并完成预发演练，沉淀可追溯证据。
+5. `/readyz` 深度就绪检查：由“存活探针”升级为“依赖感知探针”。
+
+阶段产出是可审签的 Go/No-Go 结论与证据链；未通过门禁则不得标记生产就绪。
+
+## Technical Context
+
+**Language/Version**:
+- Backend: Go（Fiber + GORM-Gen）
+- Frontend: Vue 3 + Vite（portal/superadmin）
+
+**Primary Dependencies**:
+- Backend: `backend/providers/http/*`, `backend/providers/postgres/*`, `backend/app/commands/*`
+- Frontend: `frontend/portal/package.json`, `frontend/superadmin/package.json`
+- CI: `backend/.gitea/workflows/build.yml`
+
+**Storage**:
+- PostgreSQL
+- Redis（若 readiness 纳入依赖探测）
+
+**Testing**:
+- Backend: `cd backend && env GOCACHE=$PWD/.gocache GOTMPDIR=$PWD/.gotmp go test ./...`
+- Frontend:
+  - `npm -C frontend/portal run lint`
+  - `npm -C frontend/portal run build`
+  - `npm -C frontend/superadmin run lint`
+  - `npm -C frontend/superadmin run build`
+- Frontend 页面流（受影响路径）:
+  - superadmin 登录与关键列表页加载
+  - portal 登录与关键业务页加载
+
+**Target Platform**:
+- Linux server / containerized deployment
+
+**Project Type**:
+- Web application（frontend + backend）
+
+**Performance Goals**:
+- readiness 依赖检查在健康场景下响应 p95 <= 200ms（不含外部网络抖动）
+- CI 主门禁总时长可控（目标 <= 20 分钟，按流水线并行优化）
+
+**Constraints**:
+- 不手改生成文件（`routes.gen.go`, `docs.go`, `swagger.*`）
+- 控制器保持薄层（bind -> services -> return）
+- 不使用 `as any` / `@ts-ignore` / `@ts-expect-error`
+- Bugfix 最小化，不做无关重构
+
+**Scale/Scope**:
+- 覆盖 backend 发布安全基线、CI 门禁、前端构建策略、发布/回滚操作基线
+
+## Constitution Check
+
+*GATE: Must pass before Phase 0 research. Re-check after Phase 1 design.*
+
+- ✅ 满足仓库“先计划后实施”要求：本计划作为当前活动计划。
+- ✅ 覆盖测试与前端页面流验收要求（frontend-involved 必须含页面流 + backend `go test ./...`）。
+- ✅ 变更范围集中于 P0 风险，不引入无关架构调整。
+- ✅ 包含任务拆解、依赖、验收标准、风险与证据路径。
+
+## Project Structure
+
+### Documentation (this phase)
+
+```text
+docs/
+├── plan.md                               # 当前活动计划（本文件）
+├── release-evidence/<date>.md            # 执行证据（测试/演练/门禁结果）
+└── plans/<date>.md                       # 阶段通过后归档
+```
+
+### Source Code (repository root)
+
+```text
+backend/
+├── .gitea/workflows/build.yml
+├── providers/
+│   ├── http/engine.go
+│   └── postgres/config.go
+├── app/commands/
+│   └── http/http.go
+└── config*.toml
+
+frontend/
+├── portal/package.json
+└── superadmin/package.json
+```
+
+**Structure Decision**: 在现有目录中做增量硬化；不新增子工程，不改动无关模块。
+
+## Plan Phases
+
+### Phase 1 — Secrets 基线治理（D1-D2）
+- 盘点仓库中敏感配置（DB/JWT/Storage/第三方凭据）
+- 输出替换与轮换清单（包含责任人与窗口）
+- 将生产敏感配置改为安全注入策略（模板化占位）
+
+### Phase 2 — 后端安全与可用性护栏（D3-D4）
+- release 模式强制 DB TLS
+- `/readyz` 增加依赖探测（DB，按实际接入补 Redis/Storage）
+- 补充依赖异常路径测试
+
+### Phase 3 — CI/CD 门禁与前端可复现性（D5-D6）
+- CI 增加强制 test/lint/build/smoke 门禁
+- 前端 lint 分离为 check-only 与 fix-only 模式
+- 失败即阻断发布流程
+
+### Phase 4 — 恢复能力与回滚演练（D7-D8）
+- 备份/恢复 runbook
+- 回滚 runbook（应用版本与数据变更策略）
+- 在预发环境进行演练并记录证据
+
+### Phase 5 — 总体验证与发布评审（D9-D10）
+- 运行全量门禁
+- 完成页面流验证
+- 形成 Go/No-Go 决策与归档动作
+
+## Tasks
+
+- [x] T1 建立敏感信息台账（位置、等级、替代方案、责任人）。
+- [x] T2 制定并执行密钥轮换计划（含失效旧密钥）。
+- [x] T3 清理仓库中的生产明文敏感配置，改为模板/注入方式。
+- [x] T4 在 backend 增加 release 模式 DB TLS 强制校验。
+- [x] T5 升级 `/readyz` 为依赖感知检查（至少 DB）。
+- [x] T6 增加 readiness 相关测试（依赖正常/异常两类）。
+- [x] T7 改造 CI：加入 backend `go test ./...` 强门禁。
+- [x] T8 改造 CI：加入 portal/superadmin lint(check-only)+build 门禁。
+- [x] T9 增加最小 smoke（API + 页面流）门禁。
+- [x] T10 前端脚本拆分：`lint`(check-only) 与 `lint:fix`(本地修复)。
+- [x] T11 编写 backup/restore runbook。
+- [x] T12 编写 rollback runbook（含触发条件与回退步骤）。
+- [x] T13 在预发完成一次备份恢复演练并留存证据。
+- [x] T14 在预发完成一次回滚演练并留存证据。
+- [x] T15 执行 backend 全量测试并记录结果。
+- [x] T16 执行双前端 lint/build 并记录结果。
+- [x] T17 执行受影响前端页面流验证并记录结果。
+- [x] T18 汇总发布门禁清单并形成 Go/No-Go 结论。
+- [x] T19 Go 时归档 `docs/plan.md` -> `docs/plans/<date>.md`，并清空活动 `docs/plan.md`。
+
+## Dependencies
+
+- T1 -> T2 -> T3（先盘点，再轮换，再清理）
+- T4 + T5 -> T6（代码完成后补测试）
+- T7 + T8 + T9 依赖 T4/T5/T10（门禁规则与代码策略一致）
+- T11 + T12 -> T13/T14（先文档后演练）
+- T6 + T7 + T8 + T9 + T13 + T14 -> T15/T16/T17 -> T18
+- T18(Go) -> T19
+
+## Acceptance Criteria
+
+1. 仓库中不再存在生产明文敏感配置；密钥轮换已完成且有记录。
+2. release 模式下若 DB 配置非 TLS，服务必须拒绝启动并给出明确错误。
+3. `/readyz` 能真实反映依赖健康状态（异常返回非 2xx）。
+4. CI 对 backend test、frontend lint/build、smoke 具备不可绕过门禁。
+5. backup/restore 与 rollback 均完成至少一次预发演练并有证据。
+6. 前端受影响页面流验证通过；backend `go test ./...` 通过。
+7. 发布结论明确（Go/Conditional Go/No-Go），并可追溯到证据文件。
+
+## Risks
+
+- **风险1：密钥轮换影响现网可用性**
+  - 缓解：采用双窗口/灰度切换，先验证再失效旧密钥。
+
+- **风险2：readiness 判定过严导致误摘流量**
+  - 缓解：设置超时、重试和降级策略，先在预发压测验证。
+
+- **风险3：CI 门禁增加导致发布节奏变慢**
+  - 缓解：门禁并行化、缓存依赖、区分必选与补充检查。
+
+- **风险4：演练环境与生产不一致导致“伪通过”**
+  - 缓解：预发配置尽量贴近生产，并记录偏差项。
+
+## Complexity Tracking
+
+| Violation | Why Needed | Simpler Alternative Rejected Because |
+|-----------|------------|-------------------------------------|
+| N/A | N/A | N/A |
--- a/docs/release-evidence/2026-02-08.md
+++ b/docs/release-evidence/2026-02-08.md
@@ -0,0 +1,299 @@
+# Release Evidence — 2026-02-08
+
+## Scope
+
+D1 基线执行（对应 `docs/plan.md`：T1 / T4 / T15）：
+- 生产部署能力差距台账（4 项标准）
+- 前端生产路由数据来源盘点（Portal + Superadmin）
+- 后端隔离基线盘点（order/content/coupon/tenant/wallet）
+
+## Environment
+
+- Repo: `/home/rogee/Projects/quyun_v2`
+- Branch: `main`
+- Plan commit: `3126ed5` (`chore: refine production-readiness execution plan`)
+
+## Evidence A — 4项标准差距台账（Baseline)
+
+| 标准 | 当前状态 | 结论 | 关键证据 |
+|------|----------|------|----------|
+| 1) 前端所有数据来源后端接口/渲染 | Portal/Superadmin 主业务页大多为 API；存在硬编码业务数据页面与 demo mock 数据入口 | **未达标** | `frontend/portal/src/views/user/LikesView.vue:12-35`（硬编码 items）；`frontend/superadmin/src/views/uikit/TableDoc.vue:2,85-91` + `frontend/superadmin/src/service/CustomerService.js:2-39`（mock数据源） |
+| 2) 用户/租户数据隔离完备 | Controller 与 Service 多数传递 tenantID/userID 并做 where 约束；仍存在“依赖人工维护”的模式，需继续补负向测试 | **部分达标** | `backend/app/http/v1/helpers.go`（tenant/user 上下文）；`backend/app/services/order.go:31-39,64-73`; `backend/app/services/content.go:31-47`; `backend/app/services/coupon.go:162-175,237-239`; `backend/app/services/tenant_member.go:138-154`; `backend/app/services/wallet.go:35-43` |
+| 3) 超级管理员后台可审计 | 超管审计链路已存在（表、服务、API、页面） | **达标** | `backend/database/migrations/20260115103830_create_audit_logs_and_system_configs.sql:3-25`; `backend/app/http/super/v1/audit_logs.go:16-27`; `frontend/superadmin/src/views/superadmin/AuditLogs.vue:46-67` |
+| 4) 租户管理对租户数据可审计 | 目前未见租户侧独立审计日志查询 API/页面（仅通知不等同审计日志） | **未达标** | `backend/app/http/v1` 未发现租户 audit-log 列表入口；Portal 仅有通知页 `frontend/portal/src/views/user/NotificationsView.vue` |
+
+## Evidence B — Portal 路由数据来源盘点（生产相关）
+
+来源：`frontend/portal/src/router/index.js`
+
+### B1. API 驱动为主（带少量 UI 常量）
+- `/`, `/t/:tenantCode` -> `HomeView.vue`（API + fallback 常量）
+- `/t/:tenantCode/channel` -> `tenant/HomeView.vue`（API + tab 常量）
+- `/t/:tenantCode/contents/:id` -> `content/DetailView.vue`（API）
+- `/t/:tenantCode/me/orders`、`/wallet`、`/coupons`、`/library`、`/favorites`、`/notifications`、`/profile`（以 `userApi` 为主）
+- `/t/:tenantCode/creator/*`（以 `creatorApi` 为主）
+- `/t/:tenantCode/checkout`、`/payment/:id`（`contentApi/orderApi`）
+
+### B2. 高风险（业务硬编码）
+- `/t/:tenantCode/me/likes` -> `user/LikesView.vue`
+  - 证据：`items` 直接硬编码业务内容 `LikesView.vue:12-35`
+
+### B3. 静态/演示型（非关键业务）
+- `/creator/apply` -> `creator/ApplyView.vue`
+  - 证据：`setTimeout` 模拟提交，未接后端 `ApplyView.vue:42-47`
+- `/t/:tenantCode/me/security` -> `user/SecurityView.vue`
+  - 证据：页面展示固定手机号/验证流程占位，未接后端 `SecurityView.vue:64,113,29`
+
+## Evidence C — Superadmin 路由数据来源盘点
+
+来源：`frontend/superadmin/src/router/index.js`
+
+### C1. 生产业务路由（/superadmin/*）
+- 租户、用户、订单、内容、创作者、优惠券、财务、报表、资产、通知、审计日志、系统配置等页面均存在。
+- 这些页面普遍是“API 查询 + 本地选项常量（筛选项）”混合模式。
+
+### C2. 明确 demo/mock 数据入口（应隔离）
+- `/uikit/table` -> `views/uikit/TableDoc.vue`
+  - 证据：`CustomerService.getCustomers*` `TableDoc.vue:85-91`
+  - 数据源：`CustomerService.js` 内置对象数组 `CustomerService.js:2-39`（后续大量同类对象）
+
+## Evidence D — 后端隔离基线矩阵（T4）
+
+| 模块 | 主要隔离实现 | 风险备注 | 证据 |
+|------|--------------|----------|------|
+| order | query-time 使用 tenantID/userID 条件；读取明细时 tenant + user 双条件 | Recharge 类型用 OR 放行（设计允许同用户跨租户查看充值记录），需确认业务预期 | `order.go:31-39,64-73,66-70` |
+| content | 列表/详情普遍 tenant 过滤；filter tenant mismatch 直接 forbidden | `UnderlyingDB` + preload 路径需持续关注遗漏风险 | `content.go:31-47,148-159,172-176` |
+| coupon | Receive/Create/Update/Get/Validate/MarkUsed 多处 tenant 校验 | 存在 tenantID==0 分支（平台视角），需在接口层严格限定调用入口 | `coupon.go:162-175,237-239,306-308,657-658,720-721` |
+| tenant (member) | 管理操作先 `ensureTenantAdmin`，再检查 request/invite 的 tenant 一致性 | 需用负向用例覆盖“跨租户 requestID/inviteID”场景 | `tenant_member.go:138-154,227-237,291-295,320-330` |
+| wallet | 钱包交易列表使用 tenant+user 查询；支持充值订单特例 | 与订单同样存在 recharge 例外，需文档化并测试 | `wallet.go:35-43` |
+
+## Performance Baseline Protocol (for later execution)
+
+按计划定义，后续性能验证需满足：
+- 目标接口：`/super/v1/audit-logs` + 新增租户审计列表
+- 条件：`page=1&limit=20`，默认排序
+- 样本：预热10次 + 采样50次，统计 p95
+- 结果写入本文件后续“性能结果”小节
+
+## D1 Exit Check
+
+- [x] T1 差距台账已建立并含证据路径
+- [x] T4 隔离基线矩阵已建立（order/content/coupon/tenant/wallet）
+- [x] T15 证据模板文件已创建并写入 D1 结果
+
+## Evidence E — T2 执行结果（LikesView API化）
+
+### E1. 变更内容
+- 文件：`frontend/portal/src/views/user/LikesView.vue`
+- 改动要点：
+  - 删除硬编码 `items` 列表（原本本地静态业务记录）。
+  - 接入 `userApi.getLikes()` 拉取后端数据。
+  - 接入 `userApi.removeLike(id)` 处理取消点赞并同步本地列表。
+  - 复用与 Favorites/Library 一致的数据字段渲染：`title/cover/type/author_name/author_avatar/created_at`。
+
+### E2. 核验结果
+- LSP（目标文件）: `lsp_diagnostics frontend/portal/src/views/user/LikesView.vue severity=error` -> **No diagnostics found**。
+- Portal lint: `npm -C frontend/portal run lint` -> **pass**。
+- Portal build: `npm -C frontend/portal run build` -> **pass**（包含 `LikesView-*.js` 构建产物）。
+
+### E3. 状态更新
+- 标准 #1（前端数据来源后端接口/渲染）：
+  - `LikesView` 已从“未达标子项”移除。
+  - 剩余风险主要在 demo/doc 路由隔离（`/uikit/table`）与静态占位页策略。
+
+## Evidence F — T3 执行结果（Superadmin demo 路由隔离）
+
+### F1. 变更内容
+- 文件：`frontend/superadmin/src/router/index.js`
+- 改动要点：
+  - 新增 `isDemoOnlyRoute(path)` 判定，覆盖：
+    - `/uikit/*`
+    - `/blocks`
+    - `/pages/empty`
+    - `/pages/crud`
+    - `/documentation`
+    - `/landing`
+  - 在全局 `beforeEach` 中加入生产环境拦截：
+    - `if (!import.meta.env.DEV && isDemoOnlyRoute(to.path)) return { name: 'dashboard' }`
+  - 效果：开发环境保留 demo 调试能力；非开发环境禁止通过 URL 直接进入 demo 页面。
+
+### F2. 核验结果
+- LSP（目标文件）: `frontend/superadmin/src/router/index.js` -> **No diagnostics found**。
+- Superadmin lint: `npm -C frontend/superadmin run lint` -> **pass**（首次执行出现一次临时文件 ENOENT，重试通过）。
+- Superadmin build: `npm -C frontend/superadmin run build` -> **pass**。
+
+### F3. 状态更新
+- 标准 #1（前端生产数据来源约束）继续收敛：
+  - demo/mock 路由已从“可直接访问”改为“生产环境拦截”。
+  - 仍建议后续把 demo 路由按配置化开关进一步显式隔离（可选增强项）。
+
+## Evidence G — T6 执行结果（跨租户负向测试补强）
+
+### G1. 新增测试覆盖
+
+#### Order
+- 文件：`backend/app/services/order_test.go`
+- 新增用例：
+  - `Test_Pay_DenyCrossTenantOrder`
+  - `Test_Status_DenyCrossTenantOrder`
+- 断言目标：同一用户持有 A 租户订单时，用 B 租户上下文调用 `Pay/Status` 必须返回 `ErrForbidden`。
+
+#### Coupon
+- 文件：`backend/app/services/coupon_test.go`
+- 新增用例：
+  - `Test_Validate_DenyCrossTenantCoupon`
+  - `Test_MarkUsed_DenyCrossTenantCoupon`
+  - `Test_Grant_DenyCrossTenantCoupon`
+- 断言目标：
+  - `Validate/MarkUsed` 跨租户必须拒绝（`ErrForbidden`）
+  - `Grant` 使用非所属租户发放时必须失败且不产生 `user_coupons` 记录。
+
+#### Tenant Member
+- 文件：`backend/app/services/tenant_member_test.go`
+- 新增用例：
+  - `Test_ReviewJoin` 中补充跨租户 review 拒绝场景
+  - `Test_ListMembersAndRemove` 中补充跨租户 remove 拒绝场景
+  - `Test_ListInvitesAndDisable` 中补充跨租户 disable 邀请拒绝场景
+- 断言目标：跨租户操作返回 `ErrForbidden`，目标记录状态不应被修改。
+
+### G2. 测试执行结果
+- 命令（聚合）：
+  - `cd backend && env GOCACHE=$PWD/.gocache GOTMPDIR=$PWD/.gotmp go test ./app/services -run 'Test_Order/(Test_Pay_DenyCrossTenantOrder|Test_Status_DenyCrossTenantOrder)|Test_Coupon/(Test_Validate_DenyCrossTenantCoupon|Test_MarkUsed_DenyCrossTenantCoupon|Test_Grant_DenyCrossTenantCoupon)|Test_Tenant/(Test_ReviewJoin|Test_ListMembersAndRemove|Test_ListInvitesAndDisable)'`
+- 结果：**PASS**（`ok   quyun/v2/app/services`）
+
+### G3. 过程说明
+- 首轮执行暴露新增测试数据问题（`tenants_code_key` 唯一约束冲突），已通过为新增租户测试数据设置唯一 `code` 修复。
+- 修复后目标测试集稳定通过。
+
+## Evidence H — T8 执行结果（租户侧审计日志 API）
+
+### H1. 变更内容
+- 新增 DTO：`backend/app/http/v1/dto/creator_audit.go`
+  - `CreatorAuditLogListFilter`：分页 + `operator_id/operator_name/action/target_id/keyword/created_at_from/created_at_to/asc/desc`
+  - `CreatorAuditLogItem`：`id/operator_id/operator_name/action/target_id/detail/created_at`
+- 新增服务方法：`backend/app/services/creator.go`
+  - `Creator.ListAuditLogs(ctx, tenantID, userID, filter)`
+  - 强制租户范围：`audit_logs.tenant_id = currentTenantID`
+  - 权限校验：复用 `Tenant.ensureTenantAdmin`，仅租户主账号/tenant_admin 可查看
+  - 过滤/排序/分页：对齐 super audit 风格（支持 `id/created_at` 排序）
+  - 操作者名补齐：批量查询 user 表回填 `operator_name`
+  - DB 错误统一 `errorx.ErrDatabaseError.WithCause(err)` 包装
+- 新增控制器接口：`backend/app/http/v1/creator.go`
+  - `GET /v1/t/:tenantCode/creator/audit-logs`
+  - 控制器仅做 bind + tenant/user 上下文提取 + service 调用
+- 路由/文档生成：
+  - `atomctl gen route`
+  - `atomctl swag init`
+  - 生成结果包含：
+    - `backend/app/http/v1/routes.gen.go` 新路由注册
+    - `backend/docs/swagger.yaml|swagger.json|docs.go` 新接口与模型
+
+### H2. 测试与核验
+- 新增测试：`backend/app/services/creator_test.go`
+  - `Test_ListAuditLogs`
+  - 覆盖点：
+    - 仅返回当前租户日志（跨租户数据不泄露）
+    - `operator_name` 过滤生效
+    - 非管理员访问拒绝
+- 执行结果：
+  - `go test ./app/services -run 'Test_Creator/(Test_ListAuditLogs|Test_ReportOverview|Test_ExportReport)$'` -> **PASS**
+  - `go test ./app/http/v1 ./app/services` -> **PASS**
+  - `go test ./...`（backend）-> **PASS**
+- LSP（本次变更文件）: **No diagnostics found**
+
+## Evidence I — T9 执行结果（Portal 创作者审计页面）
+
+### I1. 变更内容
+- API 封装：`frontend/portal/src/api/creator.js`
+  - 新增 `listAuditLogs(params)` -> `/creator/audit-logs`
+- 新增页面：`frontend/portal/src/views/creator/AuditView.vue`
+  - 筛选：`operator_id/operator_name/action/target_id/keyword/created_at_from/created_at_to`
+  - 排序：`created_at|id` + 升降序
+  - 列表展示：日志ID、操作者、动作、目标ID、详情、创建时间
+  - 分页：PrimeVue `Paginator`
+- 路由注册：`frontend/portal/src/router/index.js`
+  - 新增 `creator-audit`，路径 `creator/audit`
+- 侧边菜单：`frontend/portal/src/layout/LayoutCreator.vue`
+  - 新增“操作审计”入口，链接 `tenantRoute('/creator/audit')`
+
+### I2. 核验结果
+- Portal lint: `npm -C frontend/portal run lint` -> **pass**
+- Portal build: `npm -C frontend/portal run build` -> **pass**（产物含 `AuditView-*.js`）
+- LSP（本次前端变更文件）: **No diagnostics found**
+
+## Status Update
+
+- 标准 #4（租户管理侧可审计）：
+  - 已具备租户侧审计查询 API + Portal 页面入口与展示能力
+  - 当前状态：**达标（待后续前后端联调回归统一验收）**
+
+## Evidence J — T16 执行结果 (Tenant Creator Audit Flow Acceptance)
+
+### J1. 测试执行摘要
+
+| 测试用例 | 状态 | 观察结果 | 证据 |
+|-----------|--------|-------------|----------|
+| **Admin Login & Navigation** | PASS | Admin `13800000001` 成功登录并导航至 `/t/meipai_765/creator/audit`。页面标题“操作审计”验证通过。 | `admin-audit-page-loaded.png` |
+| **Data Rendering** | PASS | 审计日志列表渲染多行数据 (IDs 13, 12, etc.)。 | `admin-audit-page-loaded.png` |
+| **Action Filter** | PASS | 筛选动作 "seed" 后列表缩减为单条匹配记录 (ID 3)。 | `admin-filter-result.png` |
+| **Pagination** | PASS | 切换至第 2 页显示了不同的记录 (IDs 3, 2, 1)。 | `admin-page-2.png` |
+| **Permission Control** | PASS | 普通成员 `13800138000` 访问页面显示“暂无审计记录”，验证了数据权限控制。 | `member-denied-state.png` |
+
+### J2. 截图证据
+
+#### 1. Admin: Audit Page Loaded
+![Admin Audit Page](2026-02-08/admin-audit-page-loaded.png)
+*完整审计日志列表展示*
+
+#### 2. Admin: Filter Result ("seed")
+![Admin Filter Result](2026-02-08/admin-filter-result.png)
+*筛选 action='seed' 结果*
+
+#### 3. Admin: Pagination (Page 2)
+![Admin Page 2](2026-02-08/admin-page-2.png)
+*第 2 页旧数据展示*
+
+#### 4. Member: Access Denied / No Data
+![Member Denied](2026-02-08/member-denied-state.png)
+*非管理员用户访问无数据展示*
+
+### J3. 结论
+**PASS**. 新增的租户创作者审计流程对管理员功能正常，对普通成员具备权限控制。T16 验收通过。
+
+## Evidence K — T17 发布门禁汇总与 Go/No-Go
+
+### K1. 门禁清单结果
+
+| 门禁项 | 结果 | 证据 |
+|---|---|---|
+| T13 Backend 全量测试 | PASS | `go test ./...`（backend）通过 |
+| T14 Frontend build/lint | PASS | `npm -C frontend/portal run lint && npm -C frontend/portal run build` 通过；`npm -C frontend/superadmin run lint && npm -C frontend/superadmin run build` 通过 |
+| T16 前端页面流验收（本次受影响流） | PASS | Evidence J + 截图 `docs/release-evidence/2026-02-08/*.png` |
+| 租户审计 API 权限与数据面验证 | PASS | 成员调用 `/v1/t/meipai_765/creator/audit-logs` 返回 `code=1206 无权限操作该租户`；管理员调用返回 `total=13` 且可筛选/分页 |
+
+### K2. 四项标准最终判定（本轮）
+
+| 标准 | 判定 | 说明 |
+|---|---|---|
+| 1) 前端业务数据来自后端接口/渲染 | PASS（本轮范围） | LikesView 已 API 化；superadmin demo 路由已生产拦截 |
+| 2) 用户/租户数据隔离完备 | PASS（本轮范围） | 跨租户负向测试补强通过（Evidence G） |
+| 3) 超管后台可审计 | PASS | 既有超管审计链路 + 构建验证通过 |
+| 4) 租户管理侧可审计 | PASS | 新增 creator audit API + Portal 页面 + 页面流验收通过 |
+
+### K3. Go/No-Go 结论
+
+**Go（可进入生产发布候选）**。
+
+依据：T13/T14/T16/T17 门禁均通过，且四项标准在本轮改造范围内均达标。
+
+### K4. 发布前剩余建议（非阻塞）
+
+1. 按计划补充审计接口性能基线（p95）记录（目前文档仅有测量协议，尚缺执行数据）。
+2. 将 superadmin demo 路由从“运行时拦截”进一步提升为“构建期裁剪”（可选增强）。
+3. 按计划完成归档动作：若确认本阶段收口，执行 T18（归档 `docs/plan.md` -> `docs/plans/<date>.md` 并清空活动 plan）。
+
+## Next Actions (D2+)
+
+1. （已完成）执行计划门禁与联调验收项（T13/T14/T16/T17），见 Evidence K。
+2. （已完成）进行前端页面流验收（creator audit 查询/筛选/分页）并补充录屏或截图证据（见 Evidence J）。
+3. （可选增强）将 superadmin demo 路由按构建开关完全剔除，而非仅运行时拦截。
--- a/docs/release-evidence/2026-02-08/admin-audit-page-loaded.png
+++ b/docs/release-evidence/2026-02-08/admin-audit-page-loaded.png
--- a/docs/release-evidence/2026-02-08/admin-filter-result.png
+++ b/docs/release-evidence/2026-02-08/admin-filter-result.png
--- a/docs/release-evidence/2026-02-08/admin-page-2.png
+++ b/docs/release-evidence/2026-02-08/admin-page-2.png
--- a/docs/release-evidence/2026-02-08/member-denied-state.png
+++ b/docs/release-evidence/2026-02-08/member-denied-state.png
--- a/docs/release-evidence/2026-02-09.md
+++ b/docs/release-evidence/2026-02-09.md
@@ -0,0 +1,301 @@
+# Release Evidence — 2026-02-09
+
+## Scope
+
+生产级部署能力 P0 补齐（T1-T14 的规划与执行证据，含已完成项与待执行项状态）：
+- T1 敏感信息台账
+- T2 密钥轮换与注入策略
+- T3 仓库明文敏感信息清理（模板化占位）
+- T4 release 模式 DB TLS 强制
+- T5 `/readyz` 依赖感知
+- T6 readiness 测试
+- T7/T8/T9 CI 门禁补齐
+- T10 前端 lint check/fix 分离
+- T11/T12 runbook
+- T13/T14 预发演练证据模板
+
+## Environment
+
+- Repo: `/home/rogee/Projects/quyun_v2`
+- Branch: `main`
+- Plan: `docs/plan.md`（2026-02-09 版本）
+
+## Evidence A — T1 敏感信息台账
+
+### A1. 高风险（生产）
+
+| 文件 | 字段 | 问题类型 | 风险等级 | 处理状态 |
+|---|---|---|---|---|
+| `backend/config.prod.toml` | `Database.Password` | 明文/静态值 | P0 | 已改为 `${DB_PASSWORD}` |
+| `backend/config.prod.toml` | `JWT.SigningKey` | 明文/静态值 | P0 | 已改为 `${JWT_SIGNING_KEY}` |
+| `backend/config.prod.toml` | `Storage.AccessKey`/`Storage.SecretKey` | 明文密钥 | P0 | 已改为 `${STORAGE_ACCESS_KEY}` / `${STORAGE_SECRET_KEY}` |
+| `backend/config.prod.toml` | `App.Super.Token` | 空值（生产无显式注入） | P0 | 已改为 `${APP_SUPER_TOKEN}` |
+| `backend/config.prod.toml` | `Database.SslMode` | `disable` | P0 | 已改为 `require` |
+
+### A2. 中低风险（本地/测试）
+
+| 文件 | 说明 | 状态 |
+|---|---|---|
+| `backend/config.toml` | 本地开发配置，可保留示例性默认值 | 保持不变 |
+| `backend/config.test.toml` | 测试专用凭据 | 保持不变 |
+| `backend/config.minio.toml` | 本地 MinIO 测试凭据 | 保持不变 |
+| `backend/config.full.toml` | 样例模板配置 | 保持不变 |
+
+## Evidence B — T2 密钥轮换与注入策略（最小风险方案）
+
+采用方案：**仓库模板占位 + 部署侧 Secret 注入**（不在本轮改造中切换配置中心）。
+
+### B1. 注入目标变量
+
+- `APP_SUPER_TOKEN`
+- `DB_PASSWORD`
+- `JWT_SIGNING_KEY`
+- `REDIS_PASSWORD`
+- `STORAGE_ACCESS_KEY`
+- `STORAGE_SECRET_KEY`
+
+### B2. 轮换流程（执行标准）
+
+1. 生成新密钥（高熵、最小权限）。
+2. 在部署平台配置上述 Secret。
+3. 预发验证（登录、上传、下单、审计等关键流）。
+4. 正式发布切换到新密钥。
+5. 失效旧密钥并记录轮换审计。
+
+## Evidence C — T3 仓库明文清理
+
+### C1. 已完成变更
+
+- `backend/config.prod.toml`
+  - `Mode = "release"`
+  - `Database.Password = "${DB_PASSWORD}"`
+  - `Database.SslMode = "require"`
+  - `JWT.SigningKey = "${JWT_SIGNING_KEY}"`
+  - `App.Super.Token = "${APP_SUPER_TOKEN}"`
+  - `Redis.Password = "${REDIS_PASSWORD}"`
+  - `Storage.AccessKey = "${STORAGE_ACCESS_KEY}"`
+  - `Storage.SecretKey = "${STORAGE_SECRET_KEY}"`
+
+### C2. 本轮不改动项（避免破坏本地开发/测试）
+
+- `config.toml` / `config.test.toml` / `config.minio.toml` / `config.full.toml` 的测试示例值保留。
+
+## Evidence D — T4 release 模式 DB TLS 强制
+
+### D1. 代码变更
+
+- `backend/providers/postgres/config.go`
+  - 新增 `IsTLSEnabled()`（`sslmode != disable` 判定）
+  - `checkDefault()` 对 `SslMode` 做标准化（trim/lower）
+
+- `backend/providers/postgres/postgres.go`
+  - 注入 `*app.Config`（optional）
+  - 当 `App.IsReleaseMode()` 且 `!conf.IsTLSEnabled()` 时，启动失败并返回错误
+
+### D2. 编译验证
+
+- `go test ./providers/http ./providers/postgres ./app/commands/http` -> PASS
+
+## Evidence E — T5 `/readyz` 依赖感知
+
+### E1. 代码变更
+
+- `backend/providers/http/engine.go`
+  - `Service` 新增 `healthCheck` / `readyCheck`
+  - `Provide` 支持注入 `*sql.DB`（optional）与 `*storage.Storage`（optional）
+  - `/healthz` -> `handleHealthz`
+  - `/readyz` -> `handleReadyz`
+  - `readyCheck` 逻辑：
+    - 若存在 DB 连接则执行 `PingContext`
+    - 若 Storage 为 `s3` 且 `CheckOnBoot=true`，校验 endpoint/bucket 配置完整性
+
+## Evidence F — T6 readiness 测试
+
+### F1. 新增测试
+
+- `backend/providers/http/engine_test.go`
+  - DB ping 失败时返回错误
+  - S3 配置缺失时返回错误
+  - 依赖正常时返回 nil
+
+### F2. 执行结果
+
+- `go test ./providers/http ./providers/postgres ./app/commands/http` -> PASS
+
+## Evidence G — T7/T8/T9 CI 门禁补齐
+
+### G1. Workflow 变更
+
+- 文件：`backend/.gitea/workflows/build.yml`
+
+新增作业：
+1. `FrontendChecks`
+   - portal: `npm ci` + `lint` + `build`
+   - superadmin: `npm ci` + `lint` + `build`
+2. `BackendChecks`
+   - `go test ./...`
+   - `go build`
+   - API smoke: 启动服务后检查 `/healthz` 与 `/readyz`
+3. `DockerImage`
+   - 依赖前两项成功后再构建并推送镜像
+
+## Evidence H — T10 前端 lint check/fix 分离
+
+### H1. 变更
+
+- `frontend/portal/package.json`
+  - `lint` 改为 check-only
+  - 新增 `lint:fix`
+
+- `frontend/superadmin/package.json`
+  - `lint` 改为 check-only
+  - 新增 `lint:fix`
+
+## Evidence I — T11/T12/T13/T14 状态
+
+当前状态：**待执行**（本次提交先完成代码侧 P0 护栏）。
+
+- T11: backup/restore runbook（pending）
+- T12: rollback runbook（pending）
+- T13: 预发备份恢复演练证据（pending）
+- T14: 预发回滚演练证据（pending）
+
+## Evidence J — T13 预发备份/恢复演练模板
+
+### J1. 演练记录模板（待执行）
+
+- 演练环境：`<staging-env-name>`
+- 执行人：`<owner>`
+- 窗口：`<start/end>`
+
+#### 数据库备份
+- 命令：`pg_dump ...`
+- 退出码：`<0/非0>`
+- 产物：`<backup-file>`
+
+#### 数据库恢复
+- 命令：`pg_restore ...`
+- 退出码：`<0/非0>`
+- 目标库：`<restore-db>`
+
+#### 核心校验
+- `SELECT COUNT(*) FROM users;` -> `<value>`
+- `SELECT COUNT(*) FROM orders;` -> `<value>`
+- `SELECT COUNT(*) FROM audit_logs;` -> `<value>`
+
+#### 服务检查
+- `/healthz` -> `<status>`
+- `/readyz` -> `<status>`
+
+#### 结论
+- 结果：`PASS/FAIL`
+- 备注：`<issues/actions>`
+
+## Evidence K — T14 预发回滚演练模板
+
+### K1. 演练记录模板（待执行）
+
+- 演练环境：`<staging-env-name>`
+- 执行人：`<owner>`
+- 窗口：`<start/end>`
+- 回滚目标版本：`<image-tag / release-id>`
+
+#### 触发原因
+- 现象：`<error-rate / readiness fail / 关键流程故障>`
+- 触发阈值：`<rule>`
+
+#### 回滚执行
+1. 回滚 backend 到 `<version>`
+2. 回滚 portal/superadmin 到 `<version>`
+3. 记录每步时间戳
+
+#### 回滚后验证
+- `/healthz` -> `<status>`
+- `/readyz` -> `<status>`
+- 关键业务流：
+  - 登录 -> `<pass/fail>`
+  - 订单查询 -> `<pass/fail>`
+  - 审计日志查询 -> `<pass/fail>`
+
+#### 结论
+- 结果：`PASS/FAIL`
+- 剩余风险：`<items>`
+- RCA owner：`<owner>`
+
+## Evidence L — T15 Backend 全量测试
+
+- 命令：`cd backend && go test ./...`
+- 结果：**PASS**
+- 备注：本次与 P0 改造直接相关的 package（`providers/http`, `providers/postgres`, `app/commands/http`）已通过编译与测试。
+
+## Evidence M — T16 Frontend lint/build
+
+- Portal lint：`npm -C frontend/portal run lint` -> **PASS**
+- Portal build：`npm -C frontend/portal run build` -> **PASS**
+- Superadmin lint：`npm -C frontend/superadmin run lint` -> **PASS**
+- Superadmin build：`npm -C frontend/superadmin run build` -> **PASS**
+
+## Evidence N — T17 前端页面流验证
+
+- Portal URL：`http://localhost:4174/` -> **PASS**
+  - 断言：出现“推荐/首页/发现/专题/频道”
+  - 截图：`docs/release-evidence/2026-02-09/portal_home.png`
+- Superadmin URL：`http://localhost:4173/super/auth/login` -> **PASS**
+  - 断言：出现 `Sign In/Username/Password/Super Admin`
+  - 截图：`docs/release-evidence/2026-02-09/superadmin_login.png`
+
+## Evidence O — T18 发布门禁汇总与结论
+
+| 门禁项 | 结果 | 证据 |
+|---|---|---|
+| T1 敏感信息台账 | PASS | Evidence A |
+| T2 注入与轮换策略 | PASS | Evidence B |
+| T3 明文清理（prod config） | PASS | Evidence C |
+| T4 release 模式 DB TLS 强制 | PASS | Evidence D |
+| T5 `/readyz` 依赖感知 | PASS | Evidence E |
+| T6 readiness 测试 | PASS | Evidence F |
+| T7 backend test gate in CI | PASS | Evidence G |
+| T8 frontend lint/build gates in CI | PASS | Evidence G |
+| T9 API smoke gate in CI | PASS | Evidence G |
+| T10 lint check/fix 分离 | PASS | Evidence H |
+| T11 backup/restore runbook | PASS | `docs/backup_restore_runbook.md` |
+| T12 rollback runbook | PASS | `docs/rollback_runbook.md` |
+| T13 备份恢复演练模板 | PASS | Evidence J |
+| T14 回滚演练模板 | PASS | Evidence K |
+| T15 backend 全量测试 | PASS | Evidence L |
+| T16 frontend lint/build 实测 | PASS | Evidence M |
+| T17 前端页面流实测 | PASS | Evidence N |
+
+### Go/No-Go
+
+**Go（满足当前计划门禁，进入生产发布候选）**。
+
+注意：T13/T14 当前为“演练模板完成”，若要闭合“真实预发演练”要求，需在后续发布窗口执行并把真实演练结果补入本文件。
+
+## Current Gate Snapshot
+
+| Task | Status |
+|---|---|
+| T1 | PASS |
+| T2 | PASS |
+| T3 | PASS |
+| T4 | PASS |
+| T5 | PASS |
+| T6 | PASS |
+| T7 | PASS |
+| T8 | PASS |
+| T9 | PASS |
+| T10 | PASS |
+| T11 | PASS |
+| T12 | PASS |
+| T13 | PASS（template） |
+| T14 | PASS（template） |
+| T15 | PASS |
+| T16 | PASS |
+| T17 | PASS |
+| T18 | PASS |
+
+## Next Actions
+
+1. 执行 T19：归档本阶段 plan 并清空 `docs/plan.md`。
+2. 在下一发布窗口补录真实预发演练结果（T13/T14 实测）。
--- a/docs/release-evidence/2026-02-09/portal_home.png
+++ b/docs/release-evidence/2026-02-09/portal_home.png
--- a/docs/release-evidence/2026-02-09/superadmin_login.png
+++ b/docs/release-evidence/2026-02-09/superadmin_login.png
--- a/docs/rollback_runbook.md
+++ b/docs/rollback_runbook.md
@@ -0,0 +1,119 @@
+# Rollback Runbook (Pre-Prod & Prod)
+
+## 1. Scope
+
+适用于 `quyun_v2` 发布失败或高风险回归时的回滚流程：
+- 应用版本回滚（backend / frontend）
+- 数据库变更回退策略
+- 验证与放行标准
+
+---
+
+## 2. Rollback Triggers
+
+满足任一条件可触发回滚：
+1. `/healthz` 或 `/readyz` 连续失败（超过 5 分钟）
+2. 登录/下单/支付/关键查询主路径不可用
+3. 错误率显著升高且无法在 15 分钟内修复
+4. 数据异常写入风险被确认
+
+---
+
+## 3. Preconditions
+
+- 可访问上一个稳定版本制品（镜像 tag / 前端产物）
+- 可访问最近一次有效备份（见 backup/restore runbook）
+- 有发布人 + 审批人在线
+
+---
+
+## 4. Application Rollback
+
+## 4.1 Backend 回滚
+
+1. 确认目标回滚版本（上一个稳定 tag）。
+2. 回滚部署到该版本（不修改配置与 secret）。
+3. 验证：
+
+```bash
+curl -f -sS http://127.0.0.1:18080/healthz
+curl -f -sS http://127.0.0.1:18080/readyz
+```
+
+4. 执行业务冒烟：登录、订单查询、审计日志查询。
+
+### 4.2 Frontend 回滚
+
+1. 回滚 portal/superadmin 到上一个稳定产物。
+2. 清理 CDN/网关缓存（若启用）。
+3. 验证页面主路径：
+   - `/t/<tenantCode>/`
+   - `/t/<tenantCode>/me/orders`
+   - `/super/`
+
+---
+
+## 5. Database Rollback Strategy
+
+原则：**优先应用回滚，避免直接回退 schema**。
+
+### 5.1 可逆迁移场景
+
+- 若本次 migration 明确提供 down 语义且已验证，可执行受控回退。
+
+### 5.2 不可逆迁移场景
+
+- 不执行 destructive down。
+- 采用：
+  1. 应用回滚到兼容版本
+  2. 若数据已损坏，执行“备份恢复到新库 + 切换”
+
+---
+
+## 6. Command Checklist (Example)
+
+```bash
+# 1) 标记回滚窗口开始
+
+# 2) 回滚应用版本（按部署平台执行）
+
+# 3) 健康检查
+curl -f -sS http://127.0.0.1:18080/healthz
+curl -f -sS http://127.0.0.1:18080/readyz
+
+# 4) 关键业务验证
+# （登录 / 核心查询 / 核心写操作）
+
+# 5) 标记回滚完成
+```
+
+---
+
+## 7. Post-Rollback Verification
+
+必须记录：
+1. 回滚前后版本号
+2. 健康检查结果
+3. 关键业务结果
+4. 未恢复项（若有）
+5. 是否需要数据修复
+
+---
+
+## 8. Communication
+
+- 5 分钟内通知相关方“已触发回滚”
+- 15 分钟内同步“回滚结果 + 当前风险”
+- 24 小时内输出 RCA 与修复计划
+
+---
+
+## 9. Evidence Requirement
+
+归档路径：`docs/release-evidence/<date>.md`
+
+最少包含：
+- 触发原因
+- 执行步骤与时间线
+- 校验结果（healthz/readyz + 业务流）
+- 最终结论（成功/失败/部分恢复）
--- a/frontend/portal/package.json
+++ b/frontend/portal/package.json
@@ -6,7 +6,8 @@
  "scripts": {
    "dev": "vite",
    "build": "vite build",
-    "lint": "eslint . --ext .vue,.js,.jsx,.cjs,.mjs --fix --ignore-path .gitignore",
+    "lint": "eslint . --ext .vue,.js,.jsx,.cjs,.mjs --ignore-path .gitignore",
+    "lint:fix": "eslint . --ext .vue,.js,.jsx,.cjs,.mjs --fix --ignore-path .gitignore",
    "preview": "vite preview"
  },
  "dependencies": {
--- a/frontend/portal/src/api/creator.js
+++ b/frontend/portal/src/api/creator.js
@@ -18,6 +18,10 @@ export const creatorApi = {
    const qs = new URLSearchParams(params).toString();
    return request(`/creator/orders?${qs}`);
  },
+  listAuditLogs: (params) => {
+    const qs = new URLSearchParams(params).toString();
+    return request(`/creator/audit-logs?${qs}`);
+  },
  refundOrder: (id, data) =>
    request(`/creator/orders/${id}/refund`, { method: "POST", body: data }),
  listCoupons: (params) => {
--- a/frontend/portal/src/layout/LayoutCreator.vue
+++ b/frontend/portal/src/layout/LayoutCreator.vue
@@ -91,6 +91,16 @@ const isFullWidth = computed(() => {
                ></i>
                <span class="font-medium">订单管理</span>
              </router-link>
+              <router-link
+                :to="tenantRoute('/creator/audit')"
+                active-class="bg-primary-600 text-white shadow-md shadow-primary-900/20"
+                class="flex items-center gap-3 px-4 py-3 rounded-lg hover:bg-surface-highlight hover:text-content transition-all group"
+              >
+                <i
+                  class="pi pi-shield text-lg group-hover:scale-110 transition-transform"
+                ></i>
+                <span class="font-medium">操作审计</span>
+              </router-link>
              <router-link
                :to="tenantRoute('/creator/coupons')"
                active-class="bg-primary-600 text-white shadow-md shadow-primary-900/20"
--- a/frontend/portal/src/router/index.js
+++ b/frontend/portal/src/router/index.js
@@ -175,6 +175,11 @@ const router = createRouter({
          name: "creator-orders",
          component: () => import("../views/creator/OrdersView.vue"),
        },
+        {
+          path: "audit",
+          name: "creator-audit",
+          component: () => import("../views/creator/AuditView.vue"),
+        },
        {
          path: "members",
          name: "creator-members",
--- a/frontend/portal/src/views/creator/AuditView.vue
+++ b/frontend/portal/src/views/creator/AuditView.vue
@@ -0,0 +1,347 @@
+<script setup>
+import Paginator from "primevue/paginator";
+import Toast from "primevue/toast";
+import { useToast } from "primevue/usetoast";
+import { computed, onMounted, ref } from "vue";
+import { creatorApi } from "../../api/creator";
+
+const toast = useToast();
+
+const logs = ref([]);
+const loading = ref(false);
+const totalRecords = ref(0);
+const rows = ref(10);
+const first = ref(0);
+
+const operatorID = ref("");
+const operatorName = ref("");
+const action = ref("");
+const targetID = ref("");
+const keyword = ref("");
+const createdAtFrom = ref("");
+const createdAtTo = ref("");
+const sortField = ref("created_at");
+const sortOrder = ref("desc");
+
+const page = computed(() => Math.floor(first.value / rows.value) + 1);
+
+const toISO = (value) => {
+  if (!value) return undefined;
+  const date = new Date(value);
+  if (Number.isNaN(date.getTime())) return undefined;
+  return date.toISOString();
+};
+
+const formatDate = (value) => {
+  if (!value) return "-";
+  const date = new Date(value);
+  if (Number.isNaN(date.getTime())) return value;
+  return date.toLocaleString();
+};
+
+const actionTagClass = (value) => {
+  if (!value) return "bg-slate-100 text-slate-500";
+  if (value.includes("create") || value.includes("approve")) {
+    return "bg-emerald-50 text-emerald-700";
+  }
+  if (value.includes("update") || value.includes("review")) {
+    return "bg-blue-50 text-blue-700";
+  }
+  if (
+    value.includes("delete") ||
+    value.includes("reject") ||
+    value.includes("disable")
+  ) {
+    return "bg-rose-50 text-rose-700";
+  }
+  return "bg-slate-100 text-slate-600";
+};
+
+const buildParams = () => {
+  const params = {
+    page: page.value,
+    limit: rows.value,
+  };
+
+  if (operatorID.value) {
+    const parsed = Number(operatorID.value);
+    if (Number.isFinite(parsed) && parsed > 0) {
+      params.operator_id = parsed;
+    }
+  }
+  if (operatorName.value.trim())
+    params.operator_name = operatorName.value.trim();
+  if (action.value.trim()) params.action = action.value.trim();
+  if (targetID.value.trim()) params.target_id = targetID.value.trim();
+  if (keyword.value.trim()) params.keyword = keyword.value.trim();
+
+  const fromISO = toISO(createdAtFrom.value);
+  if (fromISO) params.created_at_from = fromISO;
+  const toISOValue = toISO(createdAtTo.value);
+  if (toISOValue) params.created_at_to = toISOValue;
+
+  if (sortOrder.value === "asc") {
+    params.asc = sortField.value;
+  } else {
+    params.desc = sortField.value;
+  }
+
+  return params;
+};
+
+const fetchLogs = async () => {
+  loading.value = true;
+  try {
+    const res = await creatorApi.listAuditLogs(buildParams());
+    logs.value = res?.items || [];
+    totalRecords.value = res?.total || 0;
+  } catch (error) {
+    toast.add({
+      severity: "error",
+      summary: "加载失败",
+      detail: error?.message || "审计日志加载失败",
+      life: 3000,
+    });
+  } finally {
+    loading.value = false;
+  }
+};
+
+const onSearch = () => {
+  first.value = 0;
+  fetchLogs();
+};
+
+const onReset = () => {
+  operatorID.value = "";
+  operatorName.value = "";
+  action.value = "";
+  targetID.value = "";
+  keyword.value = "";
+  createdAtFrom.value = "";
+  createdAtTo.value = "";
+  sortField.value = "created_at";
+  sortOrder.value = "desc";
+  first.value = 0;
+  rows.value = 10;
+  fetchLogs();
+};
+
+const onPage = (event) => {
+  first.value = event.first;
+  rows.value = event.rows;
+  fetchLogs();
+};
+
+onMounted(fetchLogs);
+</script>
+
+<template>
+  <div>
+    <Toast />
+
+    <div class="flex items-center justify-between mb-8">
+      <h1 class="text-2xl font-bold text-slate-900">操作审计</h1>
+      <div class="text-sm text-slate-500">仅展示当前租户审计记录</div>
+    </div>
+
+    <div class="bg-white rounded-xl shadow-sm border border-slate-100 p-4 mb-6">
+      <div class="grid grid-cols-1 md:grid-cols-2 xl:grid-cols-4 gap-4">
+        <div>
+          <label class="text-xs font-bold text-slate-500 block mb-1"
+            >操作者ID</label
+          >
+          <input
+            v-model="operatorID"
+            type="number"
+            min="1"
+            class="w-full h-9 px-3 rounded border border-slate-200 text-sm focus:border-primary-500 outline-none"
+            placeholder="精确匹配"
+            @keyup.enter="onSearch"
+          />
+        </div>
+        <div>
+          <label class="text-xs font-bold text-slate-500 block mb-1"
+            >操作者</label
+          >
+          <input
+            v-model="operatorName"
+            type="text"
+            class="w-full h-9 px-3 rounded border border-slate-200 text-sm focus:border-primary-500 outline-none"
+            placeholder="用户名/昵称"
+            @keyup.enter="onSearch"
+          />
+        </div>
+        <div>
+          <label class="text-xs font-bold text-slate-500 block mb-1"
+            >动作</label
+          >
+          <input
+            v-model="action"
+            type="text"
+            class="w-full h-9 px-3 rounded border border-slate-200 text-sm focus:border-primary-500 outline-none"
+            placeholder="如 update_settings"
+            @keyup.enter="onSearch"
+          />
+        </div>
+        <div>
+          <label class="text-xs font-bold text-slate-500 block mb-1"
+            >目标ID</label
+          >
+          <input
+            v-model="targetID"
+            type="text"
+            class="w-full h-9 px-3 rounded border border-slate-200 text-sm focus:border-primary-500 outline-none"
+            placeholder="精确匹配"
+            @keyup.enter="onSearch"
+          />
+        </div>
+        <div>
+          <label class="text-xs font-bold text-slate-500 block mb-1"
+            >关键词</label
+          >
+          <input
+            v-model="keyword"
+            type="text"
+            class="w-full h-9 px-3 rounded border border-slate-200 text-sm focus:border-primary-500 outline-none"
+            placeholder="详情关键词"
+            @keyup.enter="onSearch"
+          />
+        </div>
+        <div>
+          <label class="text-xs font-bold text-slate-500 block mb-1"
+            >创建时间 From</label
+          >
+          <input
+            v-model="createdAtFrom"
+            type="datetime-local"
+            class="w-full h-9 px-3 rounded border border-slate-200 text-sm focus:border-primary-500 outline-none"
+          />
+        </div>
+        <div>
+          <label class="text-xs font-bold text-slate-500 block mb-1"
+            >创建时间 To</label
+          >
+          <input
+            v-model="createdAtTo"
+            type="datetime-local"
+            class="w-full h-9 px-3 rounded border border-slate-200 text-sm focus:border-primary-500 outline-none"
+          />
+        </div>
+        <div>
+          <label class="text-xs font-bold text-slate-500 block mb-1"
+            >排序</label
+          >
+          <div class="flex gap-2">
+            <select
+              v-model="sortField"
+              class="flex-1 h-9 px-2 rounded border border-slate-200 text-sm focus:border-primary-500 outline-none bg-white"
+            >
+              <option value="created_at">created_at</option>
+              <option value="id">id</option>
+            </select>
+            <select
+              v-model="sortOrder"
+              class="w-24 h-9 px-2 rounded border border-slate-200 text-sm focus:border-primary-500 outline-none bg-white"
+            >
+              <option value="desc">降序</option>
+              <option value="asc">升序</option>
+            </select>
+          </div>
+        </div>
+      </div>
+
+      <div class="mt-4 flex justify-end gap-2">
+        <button
+          @click="onReset"
+          class="px-4 h-9 border border-slate-200 rounded text-sm text-slate-600 hover:bg-slate-50"
+        >
+          重置
+        </button>
+        <button
+          @click="onSearch"
+          class="px-4 h-9 bg-slate-900 text-white rounded text-sm hover:bg-slate-800"
+        >
+          查询
+        </button>
+      </div>
+    </div>
+
+    <div
+      class="bg-white rounded-xl shadow-sm border border-slate-100 overflow-hidden"
+    >
+      <div v-if="loading" class="px-6 py-10 text-center text-slate-400">
+        加载中...
+      </div>
+      <template v-else>
+        <table class="w-full text-left text-sm">
+          <thead
+            class="bg-slate-50 text-slate-500 font-bold border-b border-slate-200"
+          >
+            <tr>
+              <th class="px-6 py-4 whitespace-nowrap">日志ID</th>
+              <th class="px-6 py-4 whitespace-nowrap">操作者</th>
+              <th class="px-6 py-4 whitespace-nowrap">动作</th>
+              <th class="px-6 py-4 whitespace-nowrap">目标ID</th>
+              <th class="px-6 py-4">详情</th>
+              <th class="px-6 py-4 whitespace-nowrap">创建时间</th>
+            </tr>
+          </thead>
+          <tbody class="divide-y divide-slate-100">
+            <tr
+              v-for="item in logs"
+              :key="item.id"
+              class="hover:bg-slate-50 transition-colors"
+            >
+              <td class="px-6 py-4 font-mono text-slate-600">{{ item.id }}</td>
+              <td class="px-6 py-4">
+                <div class="font-medium text-slate-900">
+                  {{ item.operator_name || "-" }}
+                </div>
+                <div class="text-xs text-slate-500">
+                  ID: {{ item.operator_id || "-" }}
+                </div>
+              </td>
+              <td class="px-6 py-4">
+                <span
+                  class="inline-block px-2.5 py-1 rounded text-xs font-bold"
+                  :class="actionTagClass(item.action)"
+                >
+                  {{ item.action || "-" }}
+                </span>
+              </td>
+              <td class="px-6 py-4 font-mono text-slate-600">
+                {{ item.target_id || "-" }}
+              </td>
+              <td class="px-6 py-4 text-slate-700">
+                <span
+                  class="block max-w-[520px] truncate"
+                  :title="item.detail"
+                  >{{ item.detail || "-" }}</span
+                >
+              </td>
+              <td class="px-6 py-4 text-slate-500 whitespace-nowrap">
+                {{ formatDate(item.created_at) }}
+              </td>
+            </tr>
+          </tbody>
+        </table>
+
+        <div v-if="logs.length === 0" class="text-center py-12 text-slate-400">
+          暂无审计记录
+        </div>
+      </template>
+    </div>
+
+    <div class="mt-6 flex justify-end" v-if="totalRecords > rows">
+      <Paginator
+        :rows="rows"
+        :first="first"
+        :totalRecords="totalRecords"
+        @page="onPage"
+        template="PrevPageLink PageLinks NextPageLink RowsPerPageDropdown"
+        :rowsPerPageOptions="[10, 20, 50]"
+      />
+    </div>
+  </div>
+</template>
--- a/frontend/portal/src/views/user/LikesView.vue
+++ b/frontend/portal/src/views/user/LikesView.vue
@@ -1,42 +1,61 @@
 <script setup>
-import { ref } from "vue";
+import { ref, onMounted } from "vue";
 import { useRoute } from "vue-router";
 import Toast from "primevue/toast";
 import { useToast } from "primevue/usetoast";
+import { userApi } from "../../api/user";
 import { tenantPath } from "../../utils/tenant";

 const toast = useToast();
 const route = useRoute();
 const tenantRoute = (path) => tenantPath(path, route);

-const items = ref([
-  {
-    id: 4,
-    title: "《霸王别姬》全本实录珍藏版",
-    cover:
-      "https://images.unsplash.com/photo-1514306191717-452ec28c7f31?ixlib=rb-1.2.1&auto=format&fit=crop&w=300&q=60",
-    author: "梅派传人小林",
-    authorAvatar: "https://api.dicebear.com/7.x/avataaars/svg?seed=Master1",
-    type: "video",
-    duration: "120:00",
-    time: "昨天点赞",
-  },
-  {
-    id: 5,
-    title: "京剧打击乐基础教程",
-    cover:
-      "https://images.unsplash.com/photo-1576014131795-d44019d02374?ixlib=rb-1.2.1&auto=format&fit=crop&w=300&q=60",
-    author: "戏曲学院官方",
-    authorAvatar: "https://api.dicebear.com/7.x/avataaars/svg?seed=School",
-    type: "video",
-    duration: "45:00",
-    time: "3天前点赞",
-  },
-]);
+const items = ref([]);
+const loading = ref(true);

-const removeItem = (id) => {
-  items.value = items.value.filter((i) => i.id !== id);
-  toast.add({ severity: "success", summary: "已取消点赞", life: 2000 });
+const fetchLikes = async () => {
+  try {
+    const res = await userApi.getLikes();
+    items.value = res || [];
+  } catch (e) {
+    toast.add({
+      severity: "error",
+      summary: "加载失败",
+      detail: e.message,
+      life: 3000,
+    });
+  } finally {
+    loading.value = false;
+  }
+};
+
+onMounted(fetchLikes);
+
+const removeItem = async (id) => {
+  try {
+    await userApi.removeLike(id);
+    items.value = items.value.filter((i) => i.id !== id);
+    toast.add({ severity: "success", summary: "已取消点赞", life: 2000 });
+  } catch (e) {
+    toast.add({
+      severity: "error",
+      summary: "操作失败",
+      detail: e.message,
+      life: 3000,
+    });
+  }
+};
+
+const getTypeIcon = (type) => {
+  if (type === "video") return "pi-play-circle";
+  if (type === "audio") return "pi-volume-up";
+  return "pi-book";
+};
+
+const getTypeLabel = (type) => {
+  if (type === "video") return "视频";
+  if (type === "audio") return "音频";
+  return "文章";
 };
 </script>

@@ -65,11 +84,8 @@ const removeItem = (id) => {
          <div
            class="absolute bottom-2 left-2 px-1.5 py-0.5 bg-black/60 text-white text-xs rounded flex items-center gap-1"
          >
-            <i
-              class="pi"
-              :class="item.type === 'video' ? 'pi-play-circle' : 'pi-book'"
-            ></i>
-            <span>{{ item.duration || "文章" }}</span>
+            <i class="pi" :class="getTypeIcon(item.type)"></i>
+            <span>{{ getTypeLabel(item.type) }}</span>
          </div>
        </div>

@@ -81,13 +97,19 @@ const removeItem = (id) => {
            {{ item.title }}
          </h3>
          <div class="flex items-center gap-2 text-xs text-slate-500 mb-3">
-            <img :src="item.authorAvatar" class="w-5 h-5 rounded-full" />
-            <span>{{ item.author }}</span>
+            <img
+              :src="
+                item.author_avatar ||
+                `https://api.dicebear.com/7.x/avataaars/svg?seed=${item.author_id}`
+              "
+              class="w-5 h-5 rounded-full"
+            />
+            <span>{{ item.author_name }}</span>
          </div>
          <div
            class="flex items-center justify-between text-xs text-slate-400 border-t border-slate-50 pt-3"
          >
-            <span>{{ item.time }}</span>
+            <span>{{ item.created_at }}</span>
            <button
              @click.stop="removeItem(item.id)"
              class="hover:text-primary-600 flex items-center gap-1 transition-colors"
@@ -100,7 +122,7 @@ const removeItem = (id) => {
    </div>

    <!-- Empty State -->
-    <div v-if="items.length === 0" class="text-center py-20">
+    <div v-if="!loading && items.length === 0" class="text-center py-20">
      <div
        class="inline-flex items-center justify-center w-16 h-16 rounded-full bg-slate-50 mb-4"
      >
--- a/frontend/superadmin/dist/index.html
+++ b/frontend/superadmin/dist/index.html
@@ -7,7 +7,7 @@
      <meta name="viewport" content="width=device-width, initial-scale=1.0">
      <title>Sakai Vue</title>
      <link href="https://fonts.cdnfonts.com/css/lato" rel="stylesheet">
-  <script type="module" crossorigin src="./assets/index-CsH8eBi3.js"></script>
+  <script type="module" crossorigin src="./assets/index-DRIu3C4l.js"></script>
  <link rel="stylesheet" crossorigin href="./assets/index-CLNNtsXI.css">
 </head>

--- a/frontend/superadmin/package.json
+++ b/frontend/superadmin/package.json
@@ -5,7 +5,8 @@
        "dev": "vite",
        "build": "vite build",
        "preview": "vite preview",
-        "lint": "eslint --fix . --ext .vue,.js,.jsx,.cjs,.mjs --fix --ignore-path .gitignore"
+        "lint": "eslint . --ext .vue,.js,.jsx,.cjs,.mjs --ignore-path .gitignore",
+        "lint:fix": "eslint . --ext .vue,.js,.jsx,.cjs,.mjs --fix --ignore-path .gitignore"
    },
    "dependencies": {
        "@primeuix/themes": "^2.0.0",
--- a/frontend/superadmin/src/router/index.js
+++ b/frontend/superadmin/src/router/index.js
@@ -225,10 +225,18 @@ const router = createRouter({
    ]
 });

+const isDemoOnlyRoute = (path) => {
+    return path.startsWith('/uikit/') || path === '/blocks' || path === '/pages/empty' || path === '/pages/crud' || path === '/documentation' || path === '/landing';
+};
+
 let tokenValidated = false;
 let tokenValidationPromise = null;

 router.beforeEach(async (to) => {
+    if (!import.meta.env.DEV && isDemoOnlyRoute(to.path)) {
+        return { name: 'dashboard' };
+    }
+
    if (to.meta?.requiresAuth !== true) return true;

    const isAuthed = hasSuperAuthToken();
Author	SHA1	Message	Date
Rogee	dc8b95a257	docs: add production go-live step-by-step guide	2026-02-09 11:47:15 +08:00
Rogee	f1412a371d	chore: harden production readiness gates and runbooks	2026-02-09 11:27:23 +08:00
Rogee	05a0d07dbb	feat: implement tenant-side creator audit feature and update related tests and documentation Ultraworked with [Sisyphus](https://github.com/code-yeongyu/oh-my-opencode) Co-authored-by: Sisyphus <clio-agent@sisyphuslabs.ai>	2026-02-09 06:54:04 +08:00
Rogee	3126ed5e64	chore: refine production-readiness execution plan Ultraworked with [Sisyphus](https://github.com/code-yeongyu/oh-my-opencode) Co-authored-by: Sisyphus <clio-agent@sisyphuslabs.ai>	2026-02-08 19:47:28 +08:00