feat: require production infrastructure evidence

docs/server-health-monitoring.md

@@ -2,7 +2,7 @@
 
 ## 1. 目标与边界
 
-`deploy/server/health-monitor.sh`为单机阿里云演示环境提供五分钟一次的轻量健康检查。它用于发现“公网入口不可用、宿主机出现未授权公网监听端口、身份签发地址漂移、容器退出、备份过期或损坏、证书接近到期、定时任务停止、磁盘空间不足”等直接影响可用性或暴露面的事件。
+`deploy/server/health-monitor.sh`为单机阿里云环境提供五分钟一次的轻量健康检查。它用于发现“部署模式与运行服务不一致、公网入口不可用、宿主机出现未授权公网监听端口、身份签发地址漂移、容器退出、备份过期或损坏、外部告警未配置、证书接近到期、定时任务停止、磁盘空间不足”等直接影响可用性或暴露面的事件。
 
 该脚本不替代Prometheus、Grafana、云监控或真实值班系统。默认只写结构化状态文件和systemd日志；配置外部接收器后，状态发生变化时才发送一次HMAC签名Webhook，避免每五分钟重复通知。
 
@@ -10,12 +10,15 @@
 
 | 检查 | 正常条件 | 失败状态 |
 |---|---|---|
+| 部署模式 | `HOST_DEPLOYMENT_PROFILE`只能为`demo`或`production` | 非法值直接拒绝执行 |
+| 外部告警接收器 | `demo`未配置时明确记录`not_configured`；`production`必须配置且HMAC密钥不少于32字节 | `not_configured`、`secret_missing`或`secret_invalid` |
 | 公网地址 | `PUBLIC_ORIGIN`为HTTPS | `invalid_https_origin` |
 | HTTPS入口 | `/api/v1/version`在10秒内返回成功 | `request_failed` |
 | 公网监听端口 | 宿主机非回环TCP监听端口只能属于`22,80,443`；回环地址上的数据库或监控端口不计入公网暴露 | `unexpected_ports=...`、`probe_unavailable`或`invalid_probe_result` |
 | OIDC | Discovery中的`issuer`与公网地址完全一致 | `issuer_mismatch`或`request_failed` |
-| 容器 | PostgreSQL、Redis、MinIO、Keycloak、API、Callbacks、Worker、Web、Gateway和两个模拟服务均为运行态；有健康检查的容器必须为healthy | `missing`、容器状态或健康状态 |
-| 备份 | 最新加密归档不超过36小时且外层SHA-256有效 | `missing`、`age_seconds=...`或`checksum_failed` |
+| 容器 | PostgreSQL、Redis、MinIO、Keycloak、API、Callbacks、Worker、Web和Gateway均为运行态；有健康检查的容器必须为healthy | `missing`、容器状态或健康状态 |
+| 模拟服务 | `demo`要求模拟语音和模拟告警服务都运行；`production`要求两者都不运行 | `incomplete_demo_stack`或`unexpected_running` |
+| 备份 | 最新加密归档不超过36小时且外层SHA-256有效；`production`还要求异地备份启用并完成最新归档的回读验证 | `missing`、`age_seconds=...`、`checksum_failed`或异地备份状态错误 |
 | 备份任务 | 最近一次`platform-backup.service`结果成功且退出码为0 | `result=.../exit=...` |
 | 定时任务 | 备份和证书续期timer均为enabled/active | 当前启用/活动状态 |
 | 证书 | 本地活动证书剩余时间不少于36小时 | `missing`或`remaining_seconds=...` |
@@ -86,6 +89,7 @@ PLATFORM_HEALTH_REPORT_SECRET_FILE=/etc/data-terminal-cloud/platform-health-call
 
 | 环境变量 | 默认值 | 说明 |
 |---|---|---|
+| `HOST_DEPLOYMENT_PROFILE` | `demo` | 主机部署模式；生产切换必须与异地备份、告警接收器和模拟服务退出同时完成 |
 | `BACKUP_MAX_AGE_SECONDS` | `129600` | 最新备份最大年龄，36小时 |
 | `CERTIFICATE_MIN_SECONDS` | `129600` | 证书最小剩余时间，36小时 |
 | `DISK_WARNING_PERCENT` | `80` | 磁盘警告阈值 |
@@ -130,9 +134,11 @@ systemctl list-timers platform-health-monitor.timer platform-backup.timer certbo
 docker compose -f compose.yaml -f deploy/server/compose.override.yaml --env-file deploy/server/.env ps -a
 ```
 
+生产分支可在不改变线上容器的情况下验证。临时配置`HOST_DEPLOYMENT_PROFILE=production`运行检查时，只要模拟服务仍在运行，结果必须为critical且`mock_services=unexpected_running`；测试状态目录应与正式目录隔离。
+
 ## 8. 下一步生产化
 
 1. 配置真实告警网关、主值班组和升级组，并完成HMAC验签联通测试。
 2. 将状态接入云监控或Prometheus长期存储，建立可用率和告警送达趋势。
-3. 将加密备份复制到不同故障域，并对“异地复制最后成功时间”增加检查。
+3. 启用现有OSS异地备份任务，确认上传、回读和SHA-256复算成功，并把最近验证时间纳入健康状态。
 4. 使用外部OIDC、托管数据库/Redis/对象存储后，把资源级高可用、PITR和容量指标纳入同一状态模型。