feat(deploy): 在线更新 - 新增后台检查、强制备份迁移与失败自动回退

docs/content/docs/progress/pending-test.mdx

@@ -5,6 +5,15 @@ description: 影策已实现功能的手工验证清单与未确认边界
 
 # 待测试
 
+## 服务升级运行基础
+
+- 完整架构、状态机、Release 清单、备份和回退边界见 `docs/design/dynamic-update.md`。
+- [x] 后端新增权威 BuildInfo、`schema_migrations`、独立 `migrate-schema` 命令、分层健康检查以及可停止 Worker；专项 Go 测试通过。
+- [x] 生产 Compose 在 Backend 前运行一次性迁移服务，并使用 `CANVAS_AUTO_MIGRATE=false` 阻止业务进程隐式修改 Schema；Backend 收到 SIGTERM 后进入 drain、停止领取任务并等待活动任务。
+- [ ] 使用 PostgreSQL 部署执行一次无迁移启动和一次跨版本迁移，确认 migrate 成功后 Backend 才启动，checksum 漂移和高版本 Schema 均会阻止旧 Backend 就绪。
+- [ ] 在存在图片、视频和文本长任务时发送 SIGTERM，确认 readiness 立即返回 503、新任务被拒绝、已领取任务在宽限期内完成，超时后租约可由重启实例恢复。
+- [ ] 构建带版本参数的前后端镜像，确认 `/api/system/version`、管理后台版本、OCI Commit 和 Release Tag 一致。
+
 ## 素材库网格密度
 
 - [x] 素材库桌面端缩小卡片并改为每行 6 张；新增素材占首格，默认每页 35 项，可切换 70/105 项，首屏正好组成 6×6 完整网格；中窄屏按 4/3/1 列收敛，前端生产构建通过。
@@ -501,6 +510,19 @@ description: 影策已实现功能的手工验证清单与未确认边界
 - [ ] 确认浅色/深色主题下标题、分类选中态、搜索焦点环、键帽和滚动区域清晰可见。
 - [ ] 在窄窗口确认分类可横向滚动、快捷键列表改为单列，弹窗不超出视口且长内容仅在列表区滚动。
 
+## 管理后台在线更新
+
+管理后台已新增“系统配置 → 系统更新”，并通过宿主机 Host Updater 执行强制备份、迁移、切换、健康验证和失败回退；以下场景需要在真实 Linux Docker Compose 服务器完成最终确认：
+
+- [x] 后端 Host Updater、Unix Socket 客户端、管理员 API、版本比较和状态持久化相关测试通过。
+- [x] 前端 TypeScript 检查、生产构建、侧栏入口、更新器未安装空态、更新器连接态、GitHub Release 日志、浅色/深色主题浏览器验收通过。
+- [x] Compose 配置校验、systemd 安装脚本语法和 Release 二进制构建命令通过。
+- [ ] 在生产更新前生成 PostgreSQL + 数据目录 ZIP，确认 `.partial` 不会被当作有效备份，最终 ZIP 可打开且 SHA-256、元数据、`database.dump`、`backend-data.tar` 均有效。
+- [ ] 从首个在线更新版本升级到包含 schema v2 的测试版本，确认旧服务先 drain，迁移服务独占执行，目标 build version 和 schema version 在稳定窗口内一致。
+- [ ] 人为让目标版本健康检查失败，确认自动恢复旧 Compose、旧镜像和数据库备份；旧版本因 schema 过高拒绝启动时，必须在数据库恢复完成后才能重新健康。
+- [ ] 在拉取镜像、创建备份、迁移、启动和健康检查阶段分别模拟失败，确认停服前失败不会改变运行版本，停服后失败进入回退，回退失败明确显示“需人工介入”。
+- [ ] 更新期间刷新页面、关闭浏览器和 Backend 短暂不可用，确认宿主机操作不中断，恢复后日志与最终状态完整。
+
 ## 管理后台存储资源
 
 管理后台已新增资源列表、筛选、去重容量统计、预览下载和安全批量删除；以下场景仍需使用真实资源数据确认：