fix(deploy): 系统更新 - 非正式镜像标签可在线更新到正式版

sha-* 等非正式标签不再被字典序判成比 vX.Y.Z 更新；健康检查对非正式目标版本只确认服务就绪；管理后台更新页并排展示当前运行与最新发布版本并标注非正式版本

docs/content/docs/backend/system-update.mdx

@@ -13,8 +13,8 @@ description: Host Updater、Release 检查、数据库备份迁移、健康验
 
 ## 安全更新顺序
 
-1. 从 GitHub Releases 读取包含预览版在内的最高语义版本，并与 `.env` 中固定的 `CANVAS_IMAGE_TAG` 比较。
-2. 下载目标版本的 `docker-compose.deploy.yml`，执行 `docker compose config --quiet`，检查部署文件、磁盘空间和当前版本。
+1. 从 GitHub Releases 读取包含预览版在内的最高语义版本，并与 `.env` 中固定的 `CANVAS_IMAGE_TAG` 比较。`sha-*` 这类非正式镜像标签一律视为低于正式 Release，避免把 `vsha-5509b17` 字典序比较成比 `v1.5.0` 更新。
+2. 下载目标版本的 `docker-compose.deploy.yml`，执行 `docker compose config --quiet`，检查部署文件、磁盘空间和当前版本。当前标签不是 `vX.Y.Z` 时，健康检查只确认服务就绪，不要求构建号和镜像标签逐字相同。
 3. 创建 `backup-YYYYMMDD-HHMMSS.zip.partial`，其中包含 PostgreSQL custom-format dump、后端数据目录 tar 和元数据；写入完成后 `fsync`、原子改名，并复核 ZIP 结构和 SHA-256。
 4. 拉取目标 backend/web 镜像并要求存在仓库 `sha256` 摘要。任何失败都在停服前中止。
 5. 停止 web/backend，等待 Backend 的 SIGTERM drain 完成；PostgreSQL 和 Redis 保持运行。

docs/content/docs/progress/pending-test.mdx

@@ -5,6 +5,13 @@ description: 当前项目已实现功能的手工验证清单与未确认边界
 
 # 待测试
 
+## 开发镜像标签可在线更新到正式版（2026-09-18）
+
+`CANVAS_IMAGE_TAG=sha-5509b17` 这类非正式标签不再被字典序判成比 `v1.5.0` 更新。待登录管理后台「系统配置 / 系统更新」：
+
+- [ ] 当前运行显示 `vsha-...`，最新发布显示 `v1.5.0`（或当前正式版），状态是可更新而不是「已是最新」。
+- [ ] 「开始更新」可点；更新完成后 `CANVAS_IMAGE_TAG` 变成正式版本号，页面两边版本一致。
+
 ## 创作参数弹窗表面色（2026-09-17）
 
 画幅 / 清晰度 / 时长弹窗改用工作台 `--user-surface-raised`，选中块用 `--user-control-pressed`，不再画 1px 描边。待登录后打开视频生成设置：