chore: align release docs and repository hygiene

docs/mvp-verification.md

@@ -1,6 +1,6 @@
 # 森林AI MVP 验证
 
-本文记录 2026-07-21 在 Windows、PowerShell 环境中对当前仓库实际执行的验证。只有获得成功退出码或明确 HTTP 响应的命令列为通过；未满足环境条件的项目单独列出，不视为通过。
+本文记录 2026-07-22 在 Windows、PowerShell 环境中对当前仓库实际执行的验证。只有获得成功退出码或明确 HTTP 响应的命令列为通过；未满足环境条件的项目单独列出，不视为通过。
 
 ## 环境基线
 
@@ -10,7 +10,7 @@
 - Rust `1.97.1`
 - Cargo `1.97.1`
 - Docker CLI：当前机器不可用
-- `DATABASE_URL`：当前 shell 未设置
+- `TEST_DATABASE_URL`：当前 shell 未设置
 
 本地 Compose 与 `backend/etc/agent.dev.yaml` 约定 PostgreSQL 监听 `localhost:5432`，API 监听 `localhost:9150`，Vite 默认监听 `localhost:5173`。Compose 和开发配置中的固定数据库凭据只供本地开发，生产环境必须替换。
 
@@ -31,7 +31,7 @@
 | 桌面端依赖安装 | 通过 | `apps/desktop` 下 `npm ci` 成功。 |
 | Tauri 可执行文件构建 | 通过 | 冷构建超过单次 240 秒工具等待上限，但已完成 release 编译；同一命令增量重跑 58.3 秒退出 `0`。 |
 | Tauri 安装包 | 未验证 | 本次未运行 `npm run bundle`。 |
-| PostgreSQL 集成测试 | 未运行 | 当前 shell 未提供 `DATABASE_URL`。 |
+| PostgreSQL 集成测试 | 未运行 | 当前 shell 未提供隔离数据库专用的 `TEST_DATABASE_URL`。 |
 
 ## 本地启动检查
 
@@ -111,11 +111,11 @@ go test -count=1 ./...
 ```powershell
 $repoRoot = (git rev-parse --show-toplevel).Trim()
 Set-Location (Join-Path $repoRoot 'backend')
-$env:DATABASE_URL = '<隔离测试库连接串>'
-go test -tags integration ./internal/models -run TestPostgresPing -v
+$env:TEST_DATABASE_URL = '<隔离测试库连接串>'
+go test -count=1 -tags=integration ./...
 ```
 
-连接串必须通过安全的本地或 CI secret 注入，不能提交到仓库。本次 `DATABASE_URL` 未设置，因此没有运行，也不列为通过。
+连接串必须通过安全的本地或 CI secret 注入，不能提交到仓库。Tagged 测试不会读取运行环境的 `DATABASE_URL`；缺少 `TEST_DATABASE_URL` 时会明确失败。本次未设置该变量，因此没有运行实时数据库测试，也不列为通过。
 
 ### Web
 
@@ -128,7 +128,7 @@ npm run lint
 node scripts/structure-check.mjs
 ```
 
-四条命令本次均退出 `0`。视觉检查覆盖桌面和移动登录页、工作台、项目导航、Inbox 确认、AI 会话受控创建、深色模式、无横向溢出和无未预期 console error。
+四条命令本次均退出 `0`。视觉检查覆盖桌面和移动登录页、1024px 频道抽屉、390px 搜索与项目抽屉、13 项目滚动、空 Inbox 收集到分析、Inbox 确认、失败草稿保留、AI 会话受控创建、深色模式、无横向溢出和无未预期 console error。
 
 `npm run build` 生成：
 
@@ -145,6 +145,11 @@ node scripts/structure-check.mjs
 - `project-react-acro-dark.png`
 - `project-navigation-mobile.png`
 - `channel-navigation-mobile.png`
+- `channel-navigation-tablet-1024.png`
+- `workbench-mobile-search.png`
+- `project-inbox-empty-capture-analysis.png`
+- `project-mutation-failure-draft-retained.png`
+- `project-custom-link-unavailable.png`
 - `project-inbox-confirmed.png`
 - `project-inbox-confirmed-mobile.png`
 - `project-ai-controlled.png`
@@ -200,7 +205,7 @@ npm run bundle
 2. 使用仅供开发的演示账号登录，并确认生产部署未使用默认凭据。
 3. 创建项目，修改项目设置，再刷新确认数据保留。
 4. 创建项目内标签和任务，验证任务卡显示真实标签与状态。
-5. 上传文件资料，确认返回路径是相对存储路径，且越权项目不能留下文件。
+5. 上传文件资料，确认公开响应只包含不透明存储键、不泄露物理路径，且越权项目不能留下文件。
 6. 创建计划任务元数据，确认界面没有暗示自主 Agent 已执行。
 7. 收集一条 Inbox 内容，先分析建议；此时不应出现正式对象。
 8. 选择一条或多条服务端建议并确认，验证生成对象保留来源 Inbox ID。
@@ -218,7 +223,7 @@ npm run bundle
 - AI 输出只形成待确认草稿；用户确认前不创建任务、笔记或资料。
 - 项目标签保持项目内范围；任务分享的 note/source 与任务属于同一项目。
 - 被指派人只看到任务和明确分享的关联对象。
-- PostgreSQL 集成测试只使用显式 `DATABASE_URL` 指向的隔离测试库。
+- PostgreSQL 集成测试只使用显式 `TEST_DATABASE_URL` 指向的隔离测试库，不读取运行环境的 `DATABASE_URL`。
 
 ## 文档一致性检查