docs(education): record migration closure evidence

docs/education/pilot-acceptance-runbook.md

@@ -30,13 +30,15 @@ yudao:
 ## 3. 发布步骤
 
 1. 备份 Education 相关表，并记录应用版本与 `flyway_schema_history`。
-2. 使用 Server 配置的 PostgreSQL Flyway 执行 migrate 和 validate，检查版本、脚本、checksum 与 success；不得手工应用 Education SQL 或执行 rollback SQL。
-3. 先以 `catalog-read-enabled=false`、`practice-write-enabled=false` 部署应用。
-4. 验证 System、Infra、Member 基础 smoke。
-5. 仅对 Pilot 租户开启题库读取，完成 JAVA_READ 只读 smoke，并运行 `tools/education-target-smoke/java-read-readiness.sh`。
-6. 对 Pilot 租户开启练习写入，完成会话、答案、交卷、报告、错题和收藏 smoke。
-7. 若部署 Worker 或 Scanner，先确认其持续写入 `education_operational_component`，且 `/admin-api/education/operations/health` 无 `DOWN` 组件和未处理死信。
-8. 观察错误率、延迟和数据库写入后再扩大租户列表。
+2. 由数据库管理员预置彼此独立的 Flyway owner LOGIN role 与 runtime LOGIN role。Flyway role 拥有目标 schema；runtime role 只获得业务表所需权限，且不得拥有、继承所有者角色或写入 `education_question_lifecycle_transition_token`、`education_content_node_lifecycle_transition_token`、`education_question_collection_lifecycle_transition_token`、`education_question_collection_membership_token`。角色/密码不由 migration 创建。
+3. 显式注入 `FLYWAY_USER`、`FLYWAY_PASSWORD`（不得回退到 master datasource 账号），使用 Server 配置的 PostgreSQL Flyway 执行 migrate 和 validate，检查版本、脚本、checksum、success 以及四张 token 表 owner 均为 Flyway role。
+4. 以 runtime datasource 账号验证四张 token 表均无 INSERT/UPDATE/DELETE/TRUNCATE，随后启动应用；同角色、继承 owner 或可写授权会导致 Education 启动检查 fail closed。
+5. 先以 `catalog-read-enabled=false`、`practice-write-enabled=false` 部署应用。
+6. 验证 System、Infra、Member 基础 smoke。
+7. 仅对 Pilot 租户开启题库读取，完成 JAVA_READ 只读 smoke，并运行 `tools/education-target-smoke/java-read-readiness.sh`。
+8. 对 Pilot 租户开启练习写入，完成会话、答案、交卷、报告、错题和收藏 smoke。
+9. 若部署 Worker 或 Scanner，先确认其持续写入 `education_operational_component`，且 `/admin-api/education/operations/health` 无 `DOWN` 组件和未处理死信。
+10. 观察错误率、延迟和数据库写入后再扩大租户列表。
 
 ## 4. Smoke 清单