docs: add PNVS deployment handoff notes

scripts/deploy/README.md

@@ -147,13 +147,14 @@ Taro H5 构建存在 webpack asset size warning，这是前端包体优化事项
 
 ## 服务器接管和故障恢复
 
-2026-07-02 最新接管状态：
+2026-07-03 最新接管状态：
 
-- Gitea `main` 已包含旧题库视觉对齐版本，最新提交应至少是 `f54421f`。
+- Gitea `main` 已包含 PNVS 短信认证、后台登录修复和旧题库视觉对齐版本，最新提交应至少是 `8f69838`。
 - 服务器仓库仍在 `/opt/tiku-saas/repo`，归属用户应为 `deploy:deploy`。
 - 生产 API 已能启动，`https://api.tjszsb.com/api/tenant/resolve?host=app.tjszsb.com` 已返回 `master` 租户。
 - Supabase self-hosted 运行在 `/opt/tiku-saas/supabase-project`，Kong 通过 Nginx 暴露到 `https://supabase.tjszsb.com`。
 - 线上 H5 公开配置文件在 `/srv/tiku-saas/www/*/runtime-config.json`，密钥只允许放 `supabasePublishableKey` 这类公开 key。
+- 短信登录推荐生产使用 `AUTH_SMS_PROVIDER=aliyun-pnvs`。阿里云 AccessKey/Secret 只写入 `app_private.tenant_secrets(secret_scope='sms', secret_key='aliyun-pnvs')`，不要写进 `/etc/tiku-saas/api.env` 或 H5 `runtime-config.json`。
 
 接管服务器时先做只读检查：
 
@@ -312,6 +313,7 @@ npm run readiness:production
 ```bash
 npm run readiness:production:db
 npm run smoke:auth:remote
+SMS_SMOKE_API_BASE_URL=https://api.tjszsb.com SMS_SMOKE_TENANT_ID=00000000-0000-0000-0000-000000000001 SMS_SMOKE_PHONE=replace-with-real-phone SMS_SMOKE_ORIGIN=https://admin.tjszsb.com npm run smoke:sms-login:remote
 npm run perf:api:local
 ```