chore: add cloud deployment templates

README.md

@@ -104,6 +104,7 @@ supabase/seed.sql           最小租户 seed
 scripts/import-pocketbase/  PocketBase schema/数据导入器和校验器
 scripts/smoke-seed.js       本地集成测试 seed 数据
 scripts/api-integration-test.js
+scripts/deploy/             云服务器部署模板：Nginx、systemd、环境变量示例、发布脚本
 docs/refactor/              重构架构、进度、治理文档
 docker-compose.api.yml      API 容器化运行配置
 ```
@@ -180,6 +181,7 @@ apps/taro/deploy/h5-platform-admin.runtime-config.example.json
 
 ```text
 docs/refactor/taro-h5-deployment.md
+scripts/deploy/README.md
 ```
 
 学生端当前页面：
@@ -431,6 +433,8 @@ npm run test:rls
 
 接下来在新云服务器上建议按下面顺序推进。不要跳过证据门禁；它是后续给合作商交付 SaaS 时的安全底线。
 
+当前 `tjszsb.com` 已建议按 6 个生产入口使用：`api.tjszsb.com` 反代业务 API，`app.tjszsb.com` 承载学生 H5，`admin.tjszsb.com` 承载租户后台，`console.tjszsb.com` 承载平台后台，`supabase.tjszsb.com` 反代 Supabase gateway/Auth/Storage/PostgREST，`studio.tjszsb.com` 仅限固定 IP/VPN 访问 Supabase Studio。可提交到仓库的部署模板在 `scripts/deploy/`；真实服务器文件建议放在 `/opt/tiku-saas/repo`、`/srv/tiku-saas/www/*` 和 `/etc/tiku-saas/*.env`。Gitea token、数据库密码、支付私钥、短信密钥、对象存储密钥都只允许放服务器本地，不允许写入 Git、前端运行时配置或部署脚本。
+
 1. 准备服务器基础环境：安装 Docker、Node.js 20+、Supabase CLI、Nginx/Caddy、进程管理或容器编排工具；拉取本仓库 `main`，以 Gitea 最新提交为准。
 2. 启动 Supabase/PostgreSQL，执行全部 migrations 和最小 seed；确认 `DATABASE_URL` 指向云端数据库。
 3. 按 `docs/refactor/postgresql-4c16g-tuning.md` 应用 4 核 16G `shared-host` 起步参数，启用 `pg_stat_statements`，重启 PostgreSQL 后跑 `PG_TUNING_PROFILE=shared-host npm run perf:postgres:evidence -- --strict --json`。