@wdyy/skills 0.1.5 → 0.1.6

package/.well-known/skills/index.json

@@ -7,8 +7,8 @@
     },
     {
       "name": "wdyy-deployment-standard",
-      "description": "为无 CI/CD 的 Linux 生产环境生成本地发布门禁、人工 SCP 交付约定、前端版本化 URL 和后端 Docker 蓝绿发布脚本。Use when 规划、实现、审查或执行手工生产部署时。",
-      "files": ["SKILL.md", "agents/openai.yaml", "reference/linux-deployment-rules.md", "scripts/validate-deployment-package.mjs", "scripts/validate-deployment-package.test.mjs", "templates/Dockerfile.template", "templates/deploy.sh.template", "templates/docker-compose.blue-green.yml", "templates/nginx-upstream.template.conf"]
+      "description": "为无 CI/CD 的 Linux 生产环境生成 pnpm 开发流程、本地 deploy.sh build 一键打包、AGENTS.md 自动发布编号、deploy 目录人工上传及 deploy.sh start 蓝绿部署与回滚规范。Use when 规划、实现、审查或执行手工生产部署时。",
+      "files": ["SKILL.md", "agents/openai.yaml", "reference/linux-deployment-rules.md", "scripts/validate-deployment-package.mjs", "scripts/validate-deployment-package.test.mjs", "templates/Dockerfile.template", "templates/deploy.sh.template", "templates/docker-compose.blue-green.yml", "templates/dockerignore.template", "templates/nginx-upstream.template.conf"]
     },
     {
       "name": "wdyy-api-standard",
@@ -22,7 +22,7 @@
     },
     {
       "name": "wdyy-logging-standard",
-      "description": "为 NestJS 和 Vue 项目实现前端异常上报、后端统一结构化 JSON 日志、traceId 传递、完整原始入参与 2MB 文件轮转。Use when 编写日志、错误处理、接口日志或审查生产可观测性时。",
+      "description": "为 NestJS 和 Vue 项目实现仅写入项目根目录 ./logs 的结构化 JSON 日志、前端异常上报、traceId 传递、完整原始入参与 2MB 文件轮转。Use when 编写日志、错误处理、接口日志或审查生产可观测性时。",
       "files": ["SKILL.md", "agents/openai.yaml", "reference/logging-rules.md", "scripts/validate-log-entry.mjs", "scripts/validate-log-entry.test.mjs", "templates/frontend-error-report.template.ts", "templates/logger.template.ts"]
     }
   ]

package/.well-known/skills/wdyy-deployment-standard/SKILL.md

@@ -1,52 +1,60 @@
 ---
 name: wdyy-deployment-standard
-description: 为无 CI/CD 的 Linux 生产环境生成本地发布门禁、人工 SCP 交付约定、前端版本化 URL 和后端 Docker 蓝绿发布脚本。Use when 规划、实现、审查或执行手工生产部署时。
+description: 为无 CI/CD 的 Linux 生产环境生成 pnpm 开发流程、本地 deploy.sh build 一键打包、AGENTS.md 自动发布编号、deploy 目录人工上传及 deploy.sh start 蓝绿部署与回滚规范。Use when 规划、实现、审查或执行手工生产部署时。
 ---
 
 # 企业部署规范
 
 ## Overview
 
-将 Linux 发布约束落实为前端不可变 release 与后端可健康检查、可回滚的 Docker 发布。
-
-## When to Use
-
-- 规划、实现、审查或发布生产部署时。
+将项目开发与生产发布分离为 `pnpm dev`、本地一键打包、人工全目录上传和服务器一键启动，同时保留版本化前端、后端蓝绿切流、健康检查和回滚。
 
 ## 协作边界
 
-生产发布必须具备本地发布门禁、可观测性、健康检查、回滚和 GO/NO-GO 决策证据。工程师负责人工 SCP 上传并手动执行脚本；本 skill 不执行上传，也不取代发布决策。
+生成目标项目根目录 `deploy.sh` 及其实际依赖的部署配置。工程师负责人工上传 `deploy/` 下全部文件并在服务器手动执行脚本；不得在脚本中上传、拉取代码、安装依赖或替代 GO/NO-GO 决策。
 
 ## 输入与输出
 
-- 输入：`YYYYMMDD-NNN` 发布版本、前端压缩包、Docker 镜像归档、版本化迁移、健康检查 URL、Nginx 权限与生产配置。
-- 输出：Dockerfile、蓝绿 compose、版本化前端 Nginx 配置、`deploy.sh` 和部署说明。
-- 读取 [Linux 部署规则](reference/linux-deployment-rules.md)，使用 templates 与 shell scripts。
+- 输入：目标项目真实的 pnpm scripts、前后端构建路径、Dockerfile、版本接口、健康检查、数据库迁移、Nginx 权限及服务器 `.env.production`。
+- 输出：项目根目录 `deploy.sh`、`.dockerignore`、后端 Dockerfile、蓝绿 Compose、版本化前端 Nginx 配置，以及 `./deploy/<YYYYMMDD-NNN>/` 完整发布包。
+- 读取 [Linux 部署规则](reference/linux-deployment-rules.md)，按目标项目实际结构使用 `templates/`，并运行 `scripts/validate-deployment-package.mjs`。
 
 ## 执行步骤
 
-1. 在本地依次通过测试、lint、类型检查、构建、镜像检查和发布包校验；任一步失败不得生成可发布结论。
-2. 工程师将 `incoming/<version>/frontend.tar.gz`、`backend-image.tar` 和 `database/migrations` 人工 SCP 到服务器。
-3. 前端构建使用 `/releases/<version>/` 资源基路径，解压到不可变 `releases/<version>`；`current` 仅用于入口页原子切换。
-4. 配置版本化 hash 资源长期缓存、`index.html` 禁止强缓存；保留最近五个版本且不得早于约定观测窗口清理。
-5. 使用原生 `psql` 执行尚未执行的向前兼容迁移。
-6. 在非活动颜色启动新后端容器；健康检查和版本接口通过后切换 Nginx upstream，再切换前端 `current`。
-7. 保留旧颜色容器作为上一版本；回滚只允许切回已保留并验证健康的上一版本。
-8. 生成 `start <version>`、`stop`、`restart`、`status`、`rollback <version>`，并运行部署包校验器。
+1. 开发测试阶段只使用项目根目录 `pnpm dev`，不得由部署脚本管理开发服务或数据库。
+2. 生成无版本参数的 `./deploy.sh build`。从目标项目 `AGENTS.md` 的固定发布记录表读取当天最大序号，自动生成 `YYYYMMDD-NNN`。
+3. 在本地依次通过测试、lint、类型检查、`pnpm build`、前端版本路径、镜像和发布包校验；任一步失败不得写发布记录或暴露半成品。
+4. 重新生成只含本次版本的 `deploy/`：根部放置 `deploy.sh`、`release.env`，版本目录包含前端包、后端镜像、完整迁移、迁移执行器、Compose、Nginx 配置和校验清单。
+5. 全部校验成功后，向 `AGENTS.md` 的“发布记录”表写入版本号与构建时间。
+6. 工程师将 `deploy/` 下全部内容人工上传到服务器指定目录；该目录即部署根目录。
+7. 在服务器执行无版本参数的 `./deploy.sh start`。脚本从 `release.env` 读取版本，并在任何变更前校验文件、校验清单和服务器 `.env.production`。
+8. 使用原生 `psql` 执行向前兼容迁移，在非活动颜色启动后端；健康检查和版本接口通过后切换 Nginx upstream，再原子切换前端 `current`。
+9. 保留旧颜色和前端 release 作为上一版本；提供 `stop`、`restart`、`status` 和 `rollback <version>`。
+10. blue 与 green 共同将服务器部署根目录 `./logs` 挂载到 `/app/logs`，不得设置 `LOG_DIR`、`HOST_LOG_DIR` 或创建实例日志子目录。
 
 ## 禁止事项
 
+- 不得接受人工输入 build 版本号或 `start <version>` 旧语法。
+- 不得以扫描 `deploy/` 目录代替 `AGENTS.md` 发布账本。
+- 不得把 `.env`、`.env.production`、凭据或其他生产秘密打入 `deploy/`。
+- 不得在缺少已验证 `.dockerignore` 的情况下用项目根目录构建后端镜像。
+- 不得在脚本、Compose、Dockerfile 或 Nginx 中硬编码 URL、端口或 IP；全部由 `.env` 或服务器 `.env.production` 明确提供。
 - 不得直接覆盖正在服务的前端 `dist`。
 - 不得先停止旧后端容器再启动新容器。
 - 不得以 PM2 或 systemd 作为后端主部署方案。
 - 不得在无健康检查、版本标识或可演练回滚的情况下发布。
-- 不得在 `deploy.sh` 中执行 SCP、拉取未确认代码或静默安装依赖。
+- 不得在 `deploy.sh` 中执行 SCP、拉取代码、访问制品仓库或静默安装依赖。
 - 不得把“保留旧 release 目录”等同于旧资源可访问；资源 URL 必须包含版本。
+- 不得将日志挂载到项目根目录 `./logs` 之外，或为 blue、green 配置不同日志目录。
 
 ## Red Flags
 
+- `build` 成功前修改 `AGENTS.md`，或失败后仍留下新的可上传目录。
+- 发布包依赖目标项目工作树中未上传的迁移执行器、配置或脚本。
+- `start` 依赖固定 `/srv/<project>`、调用者当前目录或人工版本参数。
 - 发布脚本在新版本通过健康检查前修改 upstream。
 - 前端目录被直接覆盖，或发布计划包含破坏性迁移。
+- Compose 包含 `LOG_DIR`、`HOST_LOG_DIR`、实例日志子目录或非 `../../logs:/app/logs` 的日志挂载。
 
 ## Verification
 
@@ -54,8 +62,11 @@ description: 为无 CI/CD 的 Linux 生产环境生成本地发布门禁、人
 - [ ] upstream 切换后新请求命中新版本，旧资源在保留窗口不返回 404。
 - [ ] 回滚脚本在演练环境恢复旧版本。
 - [ ] 数据库变更的兼容性已审查。
-- [ ] `deploy.sh` 五个命令语义明确且不包含上传行为。
-- [ ] 人工上传目录包含前端包、后端镜像归档和版本化迁移。
+- [ ] `build` 无版本参数，发布编号来自格式正确且唯一的 `AGENTS.md` 发布记录。
+- [ ] `deploy/` 只含本次完整发布包且不含生产秘密。
+- [ ] `start` 无版本参数，通过脚本物理位置识别服务器部署根目录。
+- [ ] `deploy.sh` 不包含上传、拉取代码或安装依赖行为。
+- [ ] blue 与 green 都将项目根目录 `./logs` 挂载到 `/app/logs`，且不存在其他日志目录。
 
 任一步骤失败时保持或恢复旧 upstream，保留失败容器日志并报告失败环节；不得强制切流或删除旧版本掩盖问题。
 
@@ -63,6 +74,8 @@ description: 为无 CI/CD 的 Linux 生产环境生成本地发布门禁、人
 
 | 合理化说法 | 事实 |
 |---|---|
+| “版本号手工输入更快” | 手工参数可能与上传包不一致，版本必须来自发布账本和 `release.env`。 |
+| “迁移脚本服务器上已经有” | 发布包必须自包含，不能依赖未上传的项目工作树。 |
 | “停几秒没关系” | 发布规范要求后端无先停后启的中断窗口。 |
 | “覆盖 dist 最简单” | 旧页面会引用旧 hash 文件，覆盖会造成资源 404。 |
 | “小字段改动无需兼容” | 滚动与回滚期间新旧版本会并存。 |

package/.well-known/skills/wdyy-deployment-standard/agents/openai.yaml

@@ -1,4 +1,4 @@
 interface:
   display_name: "Enterprise Deployment Standard"
-  short_description: "Prepare manual SCP releases with versioned assets and blue green"
-  default_prompt: "Use $wdyy-deployment-standard to prepare and verify the manual SCP production deployment package."
+  short_description: "Build and start complete manual deployment packages"
+  default_prompt: "Use $wdyy-deployment-standard to build a versioned deploy directory and prepare its manual server start."

package/.well-known/skills/wdyy-deployment-standard/reference/linux-deployment-rules.md

@@ -1,9 +1,131 @@
 # Linux 部署规则
 
-1. 无 CI/CD 时必须在本地完成测试、lint、类型检查、构建、镜像和发布包验证，失败不得上传。
-2. SCP 由工程师人工执行；`deploy.sh` 只消费 `incoming/<version>`，不得上传、拉取代码或安装未确认依赖。
-3. 前端资源 URL 使用 `/releases/<version>/`，构建输出写入不可变 release；确认资源存在后才原子更新 `current`。
-4. 后端固定使用 blue/green 两容器；非活动颜色启动、健康检查和版本接口通过后才能切换 upstream。
-5. PostgreSQL 使用原生 `psql` 版本化迁移；迁移仅允许向前兼容的新增或扩展。
-6. 旧颜色和旧前端 release 至少保留到观测窗口结束；默认保留最近五个版本。
-7. 回滚只切换到已保留、健康且数据库兼容的上一版本。
+## 目标项目文件
+
+按目标项目真实结构生成并维护以下受版本控制文件：
+
+```text
+deploy.sh
+.dockerignore
+src/backend/Dockerfile
+scripts/apply-migrations.sh
+scripts/deployment/docker-compose.blue-green.yml
+scripts/deployment/nginx-site.conf
+```
+
+- `deploy.sh` 同时提供本地 `build` 和服务器 `start`、`stop`、`restart`、`status`、`rollback`。
+- Dockerfile 必须接收同一发布版本，使镜像标签和后端版本接口返回 `YYYYMMDD-NNN`。
+- `.dockerignore` 必须排除 `.env`、`.env.*`、密钥、凭据、`deploy/`、`logs/`、`.git/`、`node_modules/`、`venv/` 和 `.pnpm-store/`；仅允许明确反向包含 `.env.example`。
+- Compose 与 Nginx 源文件不得位于生成目录 `deploy/`，否则下一次 build 会删除部署源配置。
+- `scripts/apply-migrations.sh` 必须来自数据库 Skill 的已确认迁移契约，且随每次发布复制到版本目录。
+- 根据目标项目的 pnpm workspace 和构建输出调整模板变量；不得保留不存在的示例路径。
+- 在项目 `.env` 提供 `PROJECT_NAME` 与 `BACKEND_CONTAINER_PORT` 供本地 build 使用；不得在脚本或 Dockerfile 中写默认端口。
+
+## 开发与本地打包
+
+1. 开发测试阶段执行 `pnpm dev`，不得由部署脚本启动或管理数据库。
+2. 开发测试完成后，只执行无额外参数的 `./deploy.sh build`。
+3. build 依次执行目标项目已确认的测试、lint、类型检查、`pnpm build`、版本化前端校验、Docker 镜像构建与检查、完整发布包校验。
+4. 前端构建使用 `/releases/<version>/` 资源基路径，后端镜像标签和版本接口使用同一个 `<version>`。
+5. 任一步失败必须返回非零状态并报告具体环节，不得跳过、降级或形成可上传结论。
+
+## AGENTS.md 发布账本
+
+`AGENTS.md` 是发布序号的唯一来源。发布记录使用且只使用以下两列：
+
+```markdown
+## 发布记录
+
+| 版本号 | 构建时间 |
+|---|---|
+| 20260730-001 | 2026-07-30 09:30:00 +08:00 |
+```
+
+build 必须：
+
+1. 要求项目根目录存在可读写的 `AGENTS.md`。
+2. 要求最多存在一个标题完全等于 `## 发布记录` 的章节。
+3. 严格验证表头、分隔行以及所有 `YYYYMMDD-NNN` 和构建时间记录；版本不得重复，序号必须为 `001` 至 `999`。
+4. 读取本地当前日期，取当天最大序号加一；当天无记录时使用 `001`。
+5. 在全部发布门禁和包校验成功后才原子写入版本号与构建时间。
+6. 章节不存在时，在首次成功 build 后追加固定章节和表格。
+7. 账本损坏、章节重复、版本重复或当天已到 `999` 时明确失败。
+
+不得接受人工 build 版本参数，不得扫描 `deploy/` 推导序号。构建人员必须先同步版本控制中的发布记录；本规范不提供跨未同步工作区的中央编号服务。
+
+## 本地 deploy 目录
+
+每次 build 先在项目根目录外显路径之外生成临时包，全部校验通过后重新生成只含本次版本的 `deploy/`：
+
+```text
+deploy/
+├── deploy.sh
+├── release.env
+└── YYYYMMDD-NNN/
+    ├── frontend.tar.gz
+    ├── backend-image.tar
+    ├── manifest.sha256
+    ├── database/migrations/
+    ├── scripts/apply-migrations.sh
+    ├── docker/docker-compose.blue-green.yml
+    └── nginx/site.conf
+```
+
+- `release.env` 只允许声明 `RELEASE_VERSION=YYYYMMDD-NNN`。
+- `manifest.sha256` 覆盖版本目录中除清单本身外的全部文件。
+- `deploy/` 只包含本次版本，不承担历史账本职责。
+- `.env`、`.env.production`、访问令牌、私钥、证书、密码和其他生产秘密不得进入 `deploy/`。
+- build 必须在 Docker 构建前验证项目根目录 `.dockerignore` 的固定秘密与生成目录排除项，防止秘密进入 `backend-image.tar`。
+- 任一步失败必须清理本次临时输出，不得修改发布记录或留下半成品。
+
+## 人工上传
+
+工程师将本地 `deploy/` 下全部内容人工上传到服务器指定目录。该目录本身就是部署根目录，例如本地 `deploy/deploy.sh` 上传后对应 `<deploy-root>/deploy.sh`，不得在服务器额外嵌套一层固定 `deploy/`。
+
+`deploy.sh` 不得执行 SCP、rsync、Git 拉取、制品仓库下载或依赖安装。生产 `.env.production` 由服务器单独保管，不随上传包传输。
+
+服务器 `.env.production` 必须明确提供 `PROJECT_NAME`、`DATABASE_URL`、`BACKEND_BIND_IP`、`BACKEND_LISTEN_HOST`、`BACKEND_CONTAINER_PORT`、`BACKEND_CONTAINER_HEALTH_URL`、`BLUE_PORT`、`GREEN_PORT`、`BLUE_HEALTH_URL`、`GREEN_HEALTH_URL`、`BLUE_VERSION_URL`、`GREEN_VERSION_URL`、`BLUE_UPSTREAM`、`GREEN_UPSTREAM` 和 `BACKEND_PROXY_URL`。`BACKEND_PROXY_URL` 必须是仅包含合法 Nginx upstream 名称的 `http://<name>` 或 `https://<name>`。URL、端口和 IP 不得在脚本、Compose、Dockerfile 或 Nginx 模板中设置默认值。
+
+## 服务器目录与 start
+
+上传后服务器目录形态为：
+
+```text
+<deploy-root>/
+├── deploy.sh
+├── release.env
+├── YYYYMMDD-NNN/
+├── .env.production
+├── logs/
+├── releases/
+├── state/
+├── current -> releases/<active-version>
+└── nginx/
+    ├── site.conf
+    └── backend-active.conf
+```
+
+1. 在部署根目录执行无额外参数的 `./deploy.sh start`。
+2. 脚本通过自身绝对路径确定部署根目录，不依赖调用者当前目录，不使用固定 `/srv/<project>`。
+3. start 严格读取 `release.env`，校验版本格式、版本目录、必需文件和全部 SHA-256；传入版本参数必须失败。
+4. `.env.production` 缺失或不可读时，在加载镜像、迁移和切流前失败。
+5. 安全解压前端到不可变 `releases/<version>`；确认 `index.html` 与版本化资源路径后才允许切换 `current`。
+6. 加载精确标签的后端镜像，使用版本包内的迁移执行器执行尚未执行的向前兼容迁移。
+7. 在非活动颜色启动新容器；健康检查和版本接口返回目标版本后才切换 Nginx upstream，再原子切换前端 `current`。
+8. 保留旧颜色和旧前端 release 到观测窗口结束，默认保留最近五个版本。
+9. `rollback <version>` 只允许切回已保留、健康且数据库兼容的上一版本。
+
+## 路径与日志
+
+- 版本 Compose 位于 `<deploy-root>/<version>/docker`。
+- blue 与 green 共同使用 `../../logs:/app/logs`，使宿主机部署根目录 `./logs` 对应容器 `/app/logs`。
+- 不得设置 `LOG_DIR`、`HOST_LOG_DIR`，不得创建服务、实例、日期、颜色或其他日志子目录。
+- Nginx 包内模板使用明确占位符；start 按脚本物理路径渲染到 `<deploy-root>/nginx/site.conf`。
+- Nginx 主配置必须由工程师预先包含或链接该 site 文件，并授予脚本执行 `nginx -t` 与 reload 的权限。
+
+## 失败与回滚
+
+- 包校验、生产配置、解压、镜像、迁移、容器启动、健康检查、版本检查、Nginx 校验或 reload 任一步失败时，保持当前 upstream 和前端 `current`。
+- Nginx 切换失败时恢复原 upstream 内容，再验证并 reload；必须明确报告失败。
+- 不得强制切流、先停止旧容器、删除旧版本、静默安装工具或吞掉错误。
+- `stop`、`restart`、`status` 和 `rollback` 必须从持久 active/previous 状态解析对应版本目录，不得依赖上传者重复输入当前版本。

package/.well-known/skills/wdyy-deployment-standard/scripts/validate-deployment-package.mjs

@@ -1,9 +1,11 @@
 #!/usr/bin/env node
-import { readFile } from 'node:fs/promises';
+import { createHash } from 'node:crypto';
+import { readdir, readFile, stat } from 'node:fs/promises';
+import { basename, join, relative, resolve, sep } from 'node:path';
 
-const [deployPath, nginxPath, composePath] = process.argv.slice(2);
-if (!deployPath || !nginxPath || !composePath) {
-  throw new Error('Pass deploy.sh, nginx config and compose file paths');
+const [deployPath, nginxPath, composePath, packageRoot] = process.argv.slice(2);
+if (!deployPath || !nginxPath || !composePath || !packageRoot) {
+  throw new Error('Pass deploy.sh, Nginx config, compose file and generated deploy directory paths');
 }
 
 const [deploy, nginx, compose] = await Promise.all([
@@ -13,24 +15,51 @@ const [deploy, nginx, compose] = await Promise.all([
 ]);
 
 const deployRequirements = [
+  'build)',
   'start)',
   'stop)',
   'restart)',
   'status)',
   'rollback)',
-  'version="$2"',
+  'AGENTS.md',
+  '## 发布记录',
+  '| 版本号 | 构建时间 |',
+  'release.env',
+  'RELEASE_VERSION',
+  'SCRIPT_DIR',
+  'manifest.sha256',
+  'pnpm test',
+  'pnpm lint',
+  'pnpm typecheck',
+  'pnpm build',
+  'docker build',
+  'docker save',
+  '.dockerignore',
+  'database/migrations',
+  'scripts/apply-migrations.sh',
   'HEALTH_URL',
   'VERSION_URL',
-  'database/migrations',
+  'BLUE_HEALTH_URL',
+  'GREEN_HEALTH_URL',
+  'BLUE_VERSION_URL',
+  'GREEN_VERSION_URL',
+  'BLUE_UPSTREAM',
+  'GREEN_UPSTREAM',
+  'BACKEND_PROXY_URL',
 ];
-const nginxRequirements = ['location /releases/', '/current'];
+const nginxRequirements = [
+  '__DEPLOY_ROOT__',
+  '__BACKEND_PROXY_URL__',
+  'location /releases/',
+  '/current',
+];
+const projectRootLogMount = '../../logs:/app/logs';
 const composeRequirements = [
   'backend-blue:',
   'backend-green:',
   'INSTANCE_ID',
   'blue',
   'green',
-  'LOG_DIR',
 ];
 
 const missing = [
@@ -41,8 +70,127 @@ const missing = [
 if (missing.length) {
   throw new Error(`Missing deployment requirements: ${missing.join(', ')}`);
 }
-if (/\bscp\b/.test(deploy)) {
-  throw new Error('deploy.sh must not upload artifacts; SCP is a manual engineer action');
+
+if (!/start\)\s*\n\s*\[\[ "\$#" -eq 1 \]\] \|\| usage/.test(deploy)) {
+  throw new Error('start must reject version arguments and read release.env');
+}
+if (/start\)[\s\S]{0,160}version="\$2"/.test(deploy) || deploy.includes('INCOMING_DIR')) {
+  throw new Error('Legacy start <version> and incoming/<version> layouts are forbidden');
+}
+if (/(?:^|[\s"'])\/srv\//m.test(`${deploy}\n${nginx}\n${compose}`)) {
+  throw new Error('Deployment root must come from deploy.sh physical location, not a fixed /srv path');
+}
+if (/(?:127\.0\.0\.1|\b3001\b|\b3002\b)/.test(`${deploy}\n${compose}`)) {
+  throw new Error('Deployment URLs, ports and IP addresses must come from environment files');
+}
+if (/proxy_pass\s+https?:\/\//.test(nginx)) {
+  throw new Error('Nginx proxy URL must come from BACKEND_PROXY_URL in .env.production');
+}
+if (/\b(?:scp|rsync)\b/.test(deploy)) {
+  throw new Error('deploy.sh must not upload artifacts; upload is a manual engineer action');
+}
+
+const forbiddenLogConfiguration = /\b(?:LOG_DIR|HOST_LOG_DIR)\b|backend\/(?:blue|green)|\/var\/log\/application/;
+if (forbiddenLogConfiguration.test(compose)) {
+  throw new Error(
+    'Logs must use the shared project-root ../../logs:/app/logs mount without configurable or per-instance directories',
+  );
+}
+const logTargetMounts = compose.match(/^[ \t]*-[ \t]*[^#\n]+:\/app\/logs[ \t]*$/gm) ?? [];
+if (
+  logTargetMounts.length !== 2
+  || logTargetMounts.some((mount) => !mount.includes(projectRootLogMount))
+) {
+  throw new Error('Blue and green must both mount project-root ../../logs directly to /app/logs');
+}
+
+const releaseEnvPath = join(packageRoot, 'release.env');
+const releaseEnv = await readFile(releaseEnvPath, 'utf8');
+const releaseMatch = releaseEnv.match(/^RELEASE_VERSION=(\d{8}-\d{3})\n$/);
+if (!releaseMatch) {
+  throw new Error('release.env must contain exactly one RELEASE_VERSION=YYYYMMDD-NNN line');
+}
+const version = releaseMatch[1];
+const rootEntries = (await readdir(packageRoot)).sort();
+const expectedRootEntries = [version, 'deploy.sh', 'release.env'].sort();
+if (JSON.stringify(rootEntries) !== JSON.stringify(expectedRootEntries)) {
+  throw new Error(`Generated deploy directory must contain only deploy.sh, release.env and ${version}`);
+}
+if (resolve(deployPath) !== resolve(packageRoot, 'deploy.sh')) {
+  throw new Error('Validator deploy.sh path must be the generated deploy directory root script');
+}
+
+const versionRoot = join(packageRoot, version);
+const requiredPaths = [
+  'frontend.tar.gz',
+  'backend-image.tar',
+  'manifest.sha256',
+  'database/migrations',
+  'scripts/apply-migrations.sh',
+  'docker/docker-compose.blue-green.yml',
+  'nginx/site.conf',
+];
+for (const requiredPath of requiredPaths) {
+  try {
+    await stat(join(versionRoot, requiredPath));
+  } catch {
+    throw new Error(`Missing generated release package path: ${requiredPath}`);
+  }
+}
+
+const runner = await stat(join(versionRoot, 'scripts/apply-migrations.sh'));
+if (!runner.isFile() || (runner.mode & 0o111) === 0) {
+  throw new Error('Generated migration runner must be an executable file');
+}
+const migrationEntries = await readdir(join(versionRoot, 'database/migrations'));
+if (!migrationEntries.some((entry) => /^V\d{3}__[a-z0-9]+(?:_[a-z0-9]+)*\.sql$/.test(entry))) {
+  throw new Error('Generated release package must include versioned database migrations');
+}
+
+async function listFiles(root, directory = root) {
+  const result = [];
+  for (const entry of await readdir(directory, { withFileTypes: true })) {
+    const path = join(directory, entry.name);
+    if (entry.isSymbolicLink()) {
+      throw new Error(`Generated release package must not contain symbolic links: ${relative(root, path)}`);
+    }
+    if (entry.isDirectory()) result.push(...await listFiles(root, path));
+    else if (entry.isFile()) result.push(relative(root, path).split(sep).join('/'));
+  }
+  return result;
+}
+
+const versionFiles = (await listFiles(versionRoot)).sort();
+for (const path of versionFiles) {
+  const name = basename(path);
+  if (
+    name === '.env'
+    || name.startsWith('.env.')
+    || /\.(?:pem|key)$/.test(name)
+    || /^(?:id_rsa|id_ed25519|credentials(?:\..*)?)$/.test(name)
+  ) {
+    throw new Error(`Production secret file must not be packaged: ${path}`);
+  }
+}
+
+const manifestPath = join(versionRoot, 'manifest.sha256');
+const manifest = await readFile(manifestPath, 'utf8');
+const entries = new Map();
+for (const line of manifest.trimEnd().split('\n')) {
+  const match = line.match(/^([0-9a-f]{64})  ([^/].*)$/);
+  if (!match || match[2].split('/').includes('..')) {
+    throw new Error(`Invalid manifest entry: ${line}`);
+  }
+  if (entries.has(match[2])) throw new Error(`Duplicate manifest entry: ${match[2]}`);
+  entries.set(match[2], match[1]);
+}
+const expectedManifestFiles = versionFiles.filter((path) => path !== 'manifest.sha256');
+if (JSON.stringify([...entries.keys()].sort()) !== JSON.stringify(expectedManifestFiles)) {
+  throw new Error('manifest.sha256 must cover every generated release file exactly once');
+}
+for (const [path, expected] of entries) {
+  const actual = createHash('sha256').update(await readFile(join(versionRoot, path))).digest('hex');
+  if (actual !== expected) throw new Error(`Checksum mismatch: ${path}`);
 }
 
-process.stdout.write('valid deployment package\n');
+process.stdout.write(`valid deployment package ${version}\n`);