deploy-check

部署检查

评估发布是否就绪；除非用户另行授权，否则不要部署或推送。预检可以确认已观察到的检查结果和未知项，但无法保证生产环境安全。

工作流

1. 检测仓库根目录、工作区、包管理器、CI 配置、部署目标、发布分支／基准，以及当前工作树状态。不要假设 origin/main 存在。
2. 根据合并基准或部署范围确定发布范围。将已提交、已暂存、未暂存和未跟踪文件分别列出。绝不覆盖或丢弃用户更改。
3. 在可行的情况下，按与 CI 相同的顺序／配置运行项目现有的验证命令：格式检查／lint、类型检查、单元测试／集成测试、构建，以及相关的冒烟测试。如果项目已定义脚本或锁文件，不要使用 npx 下载未声明的检查工具。
4. 扫描已暂存内容和发布差异，查找可能的凭据、私钥、令牌、连接字符串，以及意外纳入版本控制的环境文件。仅凭文件名匹配并不足够。绝不打印发现的秘密值，即便它看起来是伪造的、测试模式的、占位符或已泄露。指出文件、行、变量和密钥类型，最多展示密钥前缀（例如 sk_test_…）。也要在引用的代码、命令输出和构建产物摘录中对值进行脱敏。
5. 检查依赖项和锁文件变更、运行时／引擎变更、生成的产物，以及已知的部署平台限制。报告检查过的内容；除非实际运行过漏洞审计，否则不要暗示运行过漏洞审计。
6. 检查迁移的目标、顺序、向后兼容性、锁表／重写风险、数据回填、扩展—收缩顺序，以及回滚／向前修复计划。不要随意指示用户在兼容代码部署前运行生产迁移。
7. 对比环境变量引用和部署配置。将每个值归类为公开／服务器密钥／构建时／运行时；只有实际检查过目标环境，才能标记生产环境中已验证。
8. 视情况检查面向用户的文档／发布说明、监控／告警、功能标志、定时任务、队列，以及第三方控制面板变更。

结论

返回以下之一：

• READY：所有必需检查均已通过，且不存在已知阻塞项；
• BLOCKED：存在可复现的发布阻塞项；
• NEEDS CONFIRMATION：自动检查已通过，但外部状态或经授权的手动步骤尚未验证。

输出

报告发布基准／头部及范围、命令及退出状态、阻塞项、警告、迁移及发布顺序、不含值的配置／密钥发现、外部确认、回滚／向前修复说明，以及支持结论的证据。始终包含回滚部分：说明如何恢复到先前部署，以及代码回滚无法撤销哪些步骤（迁移、数据写入、已发送消息）。绝不要仅因类型检查通过就声称“可以安全推送”。