feat: add production readiness checks

docs/refactor/multitenant-auth-security-contract.md

@@ -65,6 +65,7 @@ Supabase 官方允许前端用 Data API 访问数据，但前提是 RLS、最小
    - 禁止 `AUTH_SMS_PROVIDER=mock`。
    - 禁止 `ALLOW_LEGACY_AUTH_HEADERS=true`。
    - 禁止 `ALLOW_PLATFORM_ADMIN_KEY=true`。
+   - 上云前必须运行 `npm run readiness:production`；连接生产数据库后再运行 `npm run readiness:production:db`。
 
 5. 请求体大小限制
    - 普通 JSON API 必须有默认上限。
@@ -172,6 +173,8 @@ provider event id 幂等
 
 - `npm audit` 为 0 高危/严重漏洞。
 - `npm run check:refactor` 通过。
+- `npm run readiness:production` 没有 blocker。
+- `npm run readiness:production:db` 没有 blocker。
 - 生产环境启动时默认密钥 fail-fast 生效。
 - 跨租户学生读取题目/订单/资料返回拒绝。
 - 销售只能查看自己权限范围内客资。