feat(orchestrator): harden zero-impact shadow rollout

Gate and bound Portal shadow observations while preserving Native execution. Add fail-closed service boundaries, terminal retention controls, Canary readiness telemetry, ops visibility, and isolated regression coverage.

.env.example

@@ -61,6 +61,24 @@ H5_PUBLIC_BASE_URL=http://127.0.0.1:5173
 # MEMIND_AGENT_RUN_WORKER_ID=<optional-instance-id>
 # MEMIND_AGENT_RUN_WORKER_EXPECT_RUNNING=0
 
+# LangGraph Orchestrator Shadow（默认完全不接入 Agent Run 请求路径）。
+# 仅在独立 Orchestrator 已健康、service token 已配置后，先显式打开观察 wiring，
+# 再通过 memindadm 选择 shadow。关闭 wiring 时不查询编排配置、不排队、不传用户数据。
+# MEMIND_ORCHESTRATOR_SHADOW_OBSERVATION_ENABLED=0
+# MEMIND_ORCHESTRATOR_URL=http://127.0.0.1:8093
+# MEMIND_ORCHESTRATOR_SERVICE_TOKEN=<local-or-deployment-service-token>
+# MEMIND_ORCHESTRATOR_SHADOW_MAX_CONCURRENCY=2
+# MEMIND_ORCHESTRATOR_SHADOW_MAX_QUEUE=100
+# 非 loopback URL 必须精确列入；逗号分隔，只接受 origin。
+# MEMIND_ORCHESTRATOR_ALLOWED_ORIGINS=https://orchestrator.internal
+# 真实执行交接是另一道独立闸门，默认保持关闭。
+# MEMIND_ORCHESTRATOR_EXECUTION_HANDOFF_ENABLED=0
+# MEMIND_ORCHESTRATOR_KILL_SWITCH=0
+# Orchestrator 终态数据保留清理默认关闭；在独立服务环境配置，建议真实 Canary 前明确周期。
+# MEMIND_ORCHESTRATOR_RETENTION_DAYS=0
+# MEMIND_ORCHESTRATOR_RETENTION_SWEEP_INTERVAL_MS=86400000
+# MEMIND_ORCHESTRATOR_RETENTION_SWEEP_LIMIT=100
+
 # Runtime SLO 日报（默认每日 23:55 写 reports/runtime-slo）。
 # MEMIND_RUNTIME_REPORT_DIR=/Users/john/Project/Memind/reports/runtime-slo
 # MEMIND_RUNTIME_SLO_HOUR=23