release: enforce single named reviewer workflow

project-docs/AI合同平台-生产上线加速与开发效率整改方案-2026-09-21.md

@@ -176,7 +176,7 @@
 - 每天只设置两个状态检查点；中间只在新增 P0、需要用户材料或任务完成时通知。
 - 同一阻断连续出现两次后停止重跑，先做根因分析。
 - 运行时间和等待时间分开统计：编码/修复、自动测试、真实模型、环境等待、外部审批分别记账。
-- 一名发布负责人拥有范围和 Go/No-Go 决策权，避免每个审查意见都自动升级为首发功能。
+- 陈钰麒（总经理）是本轮唯一人工发布审核人，拥有范围和 Go/No-Go 决策权；技术门禁自动执行，不再追加第二名发布审核人。
 
 ## 七、最快上线排期
 
@@ -185,9 +185,9 @@
 | 时间 | 并行执行 | 退出条件 |
 | --- | --- | --- |
 | 第 0 天，0～4 小时 | 审阅 41 个 tracked 状态项和约 8,906 个未跟踪文件；移出原始证据；保护用户已有 `docs/architecture/local-development.md`、`start-dev.ps1`；合并并冻结唯一 commit/manifest；同时发出外部材料清单 | 无未归属源码；唯一候选 SHA；发布工作树只读 |
-| 第 1 天 | A 构建一次镜像/SBOM/扫描/安装包；B 部署 `192.168.3.62`；C 代表模型场景通过后，以已验证的最多 2 并发或现有串行 runner 启动全矩阵；D 并行准备 74 项审批与政策/域名/证书材料 | 构建产物 hash 一致；UAT 健康；代表场景无系统性失败 |
+| 第 1 天 | A 构建一次镜像/SBOM/扫描/安装包；B 部署 `192.168.3.62`；C 代表模型场景通过后，以已验证的最多 2 并发或现有串行 runner 启动全矩阵；D 并行准备绑定 60 资产＋14 Prompt 精确 hash 的一份批次审批及政策/域名/证书材料 | 构建产物 hash 一致；UAT 健康；代表场景无系统性失败 |
 | 第 2 天 | 收口 RC-05；生成 RC-06 批次；执行管理员＋2 名普通成员、2 个工作区的 API/UI UAT | 144 场景都有终态；无未知、静默降级或未解释失败；运行时快照一致 |
-| 第 3 天 | 完成 RC-06；用同一候选执行真实备份、恢复、rollback/forward、RPO/RTO 和双签 | 数据和 hash 核验通过；可作出内部受控试点 Go/No-Go |
+| 第 3 天 | 完成 RC-06；用同一候选执行真实备份、恢复、rollback/forward、RPO/RTO 和单一具名审核人签名 | 数据和 hash 核验通过；可作出内部受控试点 Go/No-Go |
 | 第 4～5 天 | 收口真实 Provider、正式域名/TLS、双 Redis、密钥、监控告警、正式政策和切流/回退演练 | RC-08 公众 blocker 为 0；发布负责人明确授权公众切流 |
 
 若外部材料尚未齐全，工程侧仍以第 3 天形成完整多场景内部受控试点候选为目标，继续关闭公众注册并维持公众开放 `NO_GO`。这不是缩减产品场景，只是把代码完成与外部放行分开判断。
@@ -203,12 +203,14 @@ AI 可以：
 AI 不能冒充完成：
 
 - 具名法务人员的正式政策签署或法律结论。
-- 两名独立审批人的身份、私钥或签名。
+- 唯一具名审核人陈钰麒的身份、私钥或签名；AI 只能预填材料和自动核验，不能冒签。
 - 真实生产 Provider、域名、证书、密钥和告警接收人的提供。
 - 风险接受、破坏性生产回退批准和最终公众切流授权。
 
 这些外部批准不齐时，系统可以完成开发并进入白名单内部试点，但不能被描述为已经获得公众生产正式批准。
 
+本轮恢复和回退采用“一个人、一次人工决定、一个运营签名”的口径。公开政策也只由陈钰麒一人负责；法律文本签名与公钥信任确认仍使用两把用途隔离密钥形成两条技术签名，但不再要求第二名审核人，材料生成与验签由系统自动完成。离线恢复根密钥只用于签发、轮换或吊销恢复 keyring，日常恢复审批密钥只用于具体证据；两者必须为不同 Ed25519 公钥。两个普通成员账号和两个工作区属于自动化 UAT 覆盖，不是额外审核人。企业租户可配置的业务审批、特权身份操作等产品能力不在本次发布审核简化范围内。
+
 ## 九、效率指标与上线看板
 
 从下一任务开始只跟踪以下指标：