Record 3d-27 public deployment blocker: cloudflared restart needs root, origin port conflict

1 files changed, 9 insertions, 0 deletions

diff --git a/docs/overnight-progress.md b/docs/overnight-progress.md
index 340bb9b..532e34e 100644
--- a/docs/overnight-progress.md
+++ b/docs/overnight-progress.md
@@ -864,3 +864,12 @@ Real AKShare retrieval and dates; PostgreSQL integration/restart/idempotency; co
 - 3d-27 已派发至同一会话: fund.somhairle.bid 公网部署补验与修复 (隧道/ingress 诊断 → 只修该路由含证书 → 浏览器验收匿名/登录 → 证据入 docs/overnight-progress.md, 不改后端业务代码)。
 - 派发确认: scoped status busy; 新 assistant msg_0c61c61f90 providerID=go-b modelID=deepseek-v4.1-flash。
 - Remaining gates: 3d-27 验收, 股票买卖补项, 债券完整里程碑, cgit 复查 c48b556 (部分已在 06:4x 完成复查), 终态 notifier。无 completion notice。
+
+## 2026-09-22 07:2x CST 3d-27 writer — fund.somhairle.bid 公网部署: BLOCKED
+
+- 领导前置已完成: DNS CNAME `fund.somhairle.bid` 已生效 (DoH 104.21.37.158 / 172.67.210.85, Status 0); on-disk `~/.cloudflared/config.yml` 已加 `fund.somhairle.bid -> http://127.0.0.1:8096` (rule #6, mtime 06:44:11, size 642→710); `cloudflared tunnel ingress validate` = OK。
+- 阻塞点 1 — 无法重启 system 级 unit: `cloudflared.service` (`/etc/systemd/system/cloudflared.service`, root:root, MainPID 1554110, 运行 22h) 重启需 root。本会话实测: `sudo -n systemctl restart cloudflared` → `sudo: a password is required` (无免密 sudo; `sudo -n -l` 同样要求密码); `systemctl restart cloudflared` → `Failed to restart cloudflared.service: Interactive authentication required` (polkit)。`somhairle` 在 sudo 组但无可用凭据; 无 user 级 cloudflared unit; 按指令禁止 pkill/kill PID, 故未发送任何信号 (含 SIGHUP)。后果: 运行中 ingress 仍为旧 7 条 + catchall 404 (`/config` 无 fund), DNS 已通但路由未生效 — `curl https://fund.somhairle.bid/` = http 000 / `SSL_ERROR_SYSCALL`。
+- 阻塞点 2 — origin 端口指向非 fund-lab 服务: on-disk `fund -> 127.0.0.1:8096`, 但 8096 是 `SomhairlesDream.Server` (pid 2729643, `/usr/bin/dotnet /tmp/dream-server-publish/SomhairlesDream.Server.dll --urls http://127.0.0.1:8096`, cwd `/tmp/dream-server-publish`), 返回页面标题 `Somhairle's Dream · 实时重建台`, 且 `3d.somhairle.bid` 亦指向同一端口。fund-lab API/frontend 未运行 (5080/5175 无监听)。因此即便重启成功, `https://fund.somhairle.bid/` 也只会返回 Dream 服务而非 fund-lab, 原 3d-27 验收 (匿名 fund-lab `/health`、登录链路) 仍无法通过。
+- 未做: 未重启 unit、未发送任何进程信号、未改任何配置文件、未部署/未启动应用 (均超范围); 未改后端业务代码; 未动 artifacts/。
+- 待领导决策: (a) 提供重启途径 (代跑 `sudo systemctl restart cloudflared`, 或明确授权 SIGHUP reload); (b) 确认 fund-lab 正确 origin (预期 API `127.0.0.1:5080` 或静态前端端口, 非 8096), 启动常驻后再复验匿名 `/health` 与登录链路。
+- Verdict: BLOCKED。