feat: package portal updates for 103 release

docs/release-deploy.md

@@ -31,6 +31,22 @@ bash scripts/release-portal-runtime-prod.sh
 9. 启动 Portal，检查 `127.0.0.1:8081/api/status` 为 200。
 10. 旧源码 live 目录移入 `archives/`，线上不再保留可运行源码树。
 
+## 发版前收口
+
+正式打 103 Portal 包之前，先确认本地工作区只保留“本次要上线的 Portal 改动”。下面这些内容默认**不应**并入 Portal 发版：
+
+- `docker/` 下的 goosed 本地/生产镜像、compose、README、`.env.example`
+- `scripts/start-goosed-local.sh`
+- `scripts/verify-goosed-docker.sh`
+- `docs/goosed-*.md`
+- `docs/local-dev.md`、`README.md` 中只服务于本地 Goose / Docker 联调的说明
+- `*.bak` 之类临时备份文件
+- `.runtime/portal/` 整个构建产物目录
+
+只有当本次需求明确就是这些文件所对应的模块时，才允许把它们一起带入发版 commit。默认场景下，103 Portal 发版应聚焦于业务代码、运行脚本、数据库变更，以及与本次线上目标直接相关的文档。
+
+`bash scripts/release-portal-runtime-prod.sh` 现在会在本地预检查阶段直接拦截这些默认应排除的脏改动；只有在你明确知道自己在做什么时，才允许用 `ALLOW_PORTAL_RELEASE_SCOPE_BYPASS=1` 临时绕过。
+
 ## 禁止事项
 
 - 禁止 `rsync_to_server.sh`