chore: harden production readiness gates

docs/refactor/web-launch-acceptance-checklist.md

@@ -82,6 +82,8 @@ npm run security:repo
 npm run check:api
 npm run check:worker
 npm run check:taro
+npm run readiness:production
+npm run readiness:production:db
 npm run smoke:taro:h5
 npm run smoke:taro:h5:interaction
 node scripts/taro-h5-release-guardrails-test.js --require-dist
@@ -100,12 +102,15 @@ node scripts/taro-h5-release-guardrails-test.js --require-dist --require-runtime
 
 `security:repo` 是仓库自带的静态安全扫描，会拦截密钥形态、前端旧鉴权头、真实 runtime-config 和生产证据误入 Git。它不能替代真实 `@codex-security`；如插件在当前 Codex 环境暴露扫描工具，再补插件扫描结果。若工具不可用，不能把该项标记为已完成，只能在上线证据里标记为待补。
 
+`readiness:production` 和 `readiness:production:db` 是生产阻断门禁：会拒绝 mock/未知短信 provider、弱密钥、`CORS=*`、旧身份头、local_dev 存储、非 HTTPS 对象存储公开 URL、阿里云 OSS 内网直签、未接外部资源扫描、localhost webhook，以及租户短信/OAuth/支付公开配置缺字段、OAuth redirectUri/支付 notifyUrl 非 HTTPS、公开配置混入密钥、active provider 缺私密 `tenant_secrets` 等问题。
+
 生产 API 推荐：
 
 ```text
 ALLOW_LEGACY_AUTH_HEADERS=false
 ALLOW_PLATFORM_ADMIN_KEY=false
 CORS_ORIGIN=https://student.example.com,https://tenant-admin.example.com,https://platform-admin.example.com
+AUTH_SMS_PROVIDER=aliyun 或 tencent
 ```
 
 生产 worker 推荐：
@@ -115,6 +120,7 @@ WORKER_ASSET_SECURITY_SCANNER=metadata_rules,http
 WORKER_ASSET_SECURITY_SCAN_FAIL_OPEN=false
 STORAGE_DEFAULT_PROVIDER=aliyun_oss 或 tencent_cos 或 supabase_storage
 STORAGE_REQUIRE_TENANT_PREFIX=true
+ALIYUN_OSS_INTERNAL=false
 ```
 
 ## 性能与数据库