fix: route portal canary through isolated edge tunnel

docs/105-server-operations.md

@@ -114,6 +114,22 @@ ssh root@120.26.184.105 '
 - 禁止在 `105` 直接改 `server.mjs` / `wechat-mp.mjs` / `scripts/wechat-mp-menu.mjs`
 - 禁止跳过健康检查就宣称“已发布”
 
+## 103 Portal 用户灰度的 105 入口切换
+
+103 Portal 灰度不发布业务源码到 105。正式入口由已提交的
+`scripts/release-portal-canary-prod.sh` 受控变更：
+
+1. 先备份并校验 105 活动的 `m.tkmind.cn.conf` 与 `wechat.m.tkmind.cn.conf`。
+2. 在 103 启动独立路由器 `18082`，并通过反向隧道只暴露为 105 本机 `19082`。
+3. 候选、身份路由和隧道全部通过后，脚本才把两份 nginx 上游从
+   `58.38.22.103:8081` 切到 `127.0.0.1:19082`。
+4. 必须先 `nginx -t`，再 reload，并在切换后主动证明候选故障会回落稳定 8081；
+   任一步失败恢复备份并回到稳定入口。
+5. 回滚只能使用 `scripts/rollback-portal-canary-prod.sh`，禁止在 105 手工 `sed -i`。
+
+该动作属于 commit、CI、完整 Gate report 和明确生产批准约束下的正式发布运维，
+不构成允许在线编辑 105 配置源码的一般例外。
+
 ## 服务号底部菜单（`wechat-mp-menu.mjs`）
 
 菜单名称与链接定义在本地：