发布与生产验证（Release & Production Verification）

- 把「可合并（merge-ready）」与「可上线（deploy-ready）」拆成两个独立门禁，避免用合并质量冒充发布质量。 - 用发布门（Release Gate）统一放行条件：静态门全绿 + golden 硬门通过 + Eval 阈值达标 + P0 缺陷为 0 + 无悬而未决的产品决策。 - 上线后独立验证真部署与真行为：grep 生产制品是否含本次修复的唯一串（证明代码真到了服务器）；跑至少一个真实端到端语义冒烟用例（证明行为没坏）。 - 用 canary（灰度）与 soak（浸泡观察）把「小流量 / 短时间的真实生产反馈」变成放大流量前的必经关卡。 - 把回滚设计成纯配置操作（改 env / 切版本 + 重启），让「出问题能在数分钟内退回」成为发布的前置条件而非事后补救。