交付出件箱

批 B 上生产 · 准备清单（滚动维护）

2026-08-15 立。test 验过 ≠ 能上生产——批 B 有几件事只在生产侧存在，漏一件就是资金事故。
本清单所有状态均实查得出，不是照抄文档。发版前逐条过，过一条打一个勾。

🔴 一、拦路虎（不解决，代码上了生产也不生效）

1. 结算生产流水线还指着旧仓 —— 最要命的一条

实查（2026-08-15）：

settle-prod 最新 run#7 · 分支 main · 仓库 a7b6e0a0129631e95/tongban-settlement.git   ← 旧仓
settle-test 最新 run   · 分支 test · 仓库 e93a7b6e0a0129631e95/doctor-ai-brain.git   ← 统一仓

⇒ 批 B 代码在统一仓，结算生产流水线根本不会构建到它。
不切源就发版 = 流水线绿了、生产跑的还是旧代码，门店点支付直接 404。

[ ] 切 settle-prod 流水线源到 doctor-ai-brain.git（要 root + 长官点头）
[ ] 切完先空跑一次验证构建的是统一仓代码

2. 统一仓 main 流水线连续全红（08-09 起 5 次）

实查 run#136 日志，不是代码问题：

Image doctor-ai-brain-api:latest Built ✅
Image doctor-ai-brain-web:latest Built ✅
Container doctor-api Recreated      ✅
Container doctor-web Error: Conflict. The container name "/8e186246bbb4_doctor-web"
  is already in use by container "9abdd0e6f06f41..."

⇒ 有个孤儿容器占着 doctor-web 的名字，导致 web 换不上去。
🔴 更麻烦的是：api 已经换成新的、web 没换 —— 生产当前是新旧混跑状态。

[ ] root 清掉孤儿容器 9abdd0e6f06f41...
[ ] 重跑 main 流水线确认转绿
[ ] 确认 api / web 版本一致（不能一个新一个旧）

3. alembic 多头（`origin/main`）

实测 origin/main 是 2 个头（phase70_001 / store_poster_demo_flag，均 fork 于 phase63_002）。
- [ ] merge 这两个头（要长官点头才动生产）

二、生产服务器配置（test 已配，生产按约定未配）

4. 微信支付密钥

[ ] /opt/wxpay-secrets/（700）放 apiclient_key.pem + pub_key.pem（600）
🔴 绝不能放 deploy/ 里 —— 那是 CI 同步区，rsync --delete 每次发版清掉密钥。
test 上已实际发生过一次（2026-08-15，root 定位）
[ ] .env.production 补 8 个 WECHATPAY_* 变量
（WECHATPAY_APIV3_KEY 缺了回调解不开 = 钱收了入不了账，代码已 fail fast）
[ ] WECHATPAY_NOTIFY_URL=https://chat.tongban.love/api/wxpay/notify ← 生产域名，别抄 test 的
[ ] nginx location /api/wxpay → 结算服务（test 已验证，生产要照做）

5. 微信商户平台侧

[ ] 支付授权目录加生产域名（test 的已配，生产要单独加）
[ ] 网页授权域名含 chat.tongban.love（交接件称已配，上线前再核一遍）
[ ] 🔴 确认生产用的 appid 与 test 是否同一个
—— 若不同，test 联调拿到的 openid 在生产全部失效，要重新授权

三、数据与迁移

6. 迁移

[ ] phase68_000（建表）+ phase68_001（退款冲销约束）在生产按序执行
[ ] ⚠️ phase68_001 动了资金表约束（放宽负数、唯一约束改部分唯一），
已实测可 downgrade → upgrade，但生产回滚前要先确认没有负数冲销记录，
否则约束建不回去
[ ] 迁移后实查约束（pg_constraint），不看日志看库

7. 权限

[ ] 确认生产 settlement_rw 对 payment_orders 有权限
—— 生产用 settlement_rw 跑迁移，建表者=天然属主，正常情况不用额外授权；
但若曾用别的账号建过表，属主就不对，必须实查 pg_tables.tableowner

四、发版前必删（临时件，绝不能上生产）

[ ] 删 app/api/wx_openid_probe.py + 核心 main.py 两行注册（openid 取号探针页）
[ ] 删 /api/wxpay/self-check 端点 + 结算 main.py 两行注册
[ ] 删完各跑一次 grep -rn "wx-probe\|self-check" 确认零残留
[ ] 🔴 两个都是无鉴权端点，留在生产等于把配置自检和授权入口暴露在公网

五、发版方式

[ ] 生产只能走 sudo release-to-prod --mr <已在 test 验收的 MR 编号>
—— 工具从 main 建隔离 release/* 分支，只提取点名的 MR
[ ] 禁止直接 MR test → main（共享 test 会把其他会话的提交搭车带进生产）
[ ] 批 B 跨多个 MR 时逐个显式传 --mr，未列出的物理不会进发布分支
[ ] 发版后核对工具打印的 commit_ids + changed_files，与预期完全一致才继续

六、上线后必验（生产真打，不是看日志）

[ ] curl https://chat.tongban.love/api/wxpay/self-check → 若已删该端点，
改为真走一笔 0.01 元验证密钥（生产没有免费的自检手段了）
[ ] 真付一笔 → 查收款管理能看到微信昵称+头像+openid
[ ] 查收益台账有这笔 → 生成结算单 → 明细有这行且总额对得上
[ ] 🔴 发一次版之后再查一次密钥还在不在（防 CI 又把密钥清了 —— test 上已发生过）
[ ] 确认 api / web 容器版本一致

七、回滚预案

出什么事	怎么退
支付发起不了	前端下掉"微信支付"入口，回落线下凭证流程（老链路一行没动，仍可用）
回调入账错	停回调（nginx 摘掉 `/api/wxpay/notify`），微信会持续重推 24h，修好再放回
冲销约束有问题	回滚 `phase68_001`（先确认库里无负数记录）
整批要退	`release-to-prod` 是隔离分支发布，回退对应 MR 即可

记录

2026-08-15 立。拦路虎 1/2/3 均为实查结果（release-pipeline-status 真跑），非文档转抄。