API 域名与备案
确认 api.hicity.top 可改 DNS、已备案并能启用 HTTPS。
你需要准备的 8 项资源
Secret 只填云控制台，不发聊天、不进 Git、不打包到前端。
Node 20 运行环境
云服务器或容器，至少能稳定提供 /api/health。
PostgreSQL
启用事务、唯一约束、私网访问、自动备份和恢复演练。
私有对象存储
健康资料、资质材料走私有桶和短时签名 URL。
两个正式小程序
准备两套 AppID/AppSecret、类目、备案、隐私指引和合法域名。
发布端验证码
申请签名和模板；公开注册前必须完成真实验证码联调。
Cloudflare Pages
绑定管理端和发布端域名，并将 Origin 加入 API CORS 白名单。
协议与内测名单
准备协议、健康数据授权、客服与 20～50 人封闭灰度名单。
推荐部署结构
admin.example.com ─────┐
├─ Cloudflare Pages
publisher.example.com ─┘
│ HTTPS + CORS
▼
api.hicity.top ── Node API / 容器
├── PostgreSQL
├── 私有 COS
├── 微信登录 / 内容安全 / 订阅消息
└── 短信验证码完整流程验收顺序
先做预发布迁移与对账主体、任务、积分、库存和订单迁移前后必须一致。
管理员建立并审核机构删除默认生产账号；验证资质、积分和权限审计。
发布端真实验证码登录并发布任务企业登记、成员邀请、场次和积分冻结均使用真实服务。
两端真机走通报名到结算微信登录、报名/候补、提醒、6 位核销、提交、双审和积分到账。
验证风险与故障恢复爽约限制、管理员解除、备份恢复、回滚、库存与积分对账。
20～50 人灰度 7 天没有 P0/P1、账实一致后再决定全量开放。
公网指南不展示任何测试账号、密码或验证码。生产必须删除默认管理员、关闭 Mock 登录，并通过密钥管理配置真实认证。
后端已有创建机构和 owner 的逻辑，但 Web 企业登记、真实短信、协议/材料和生产 API 尚未闭环，因此目前不能宣称“真实自助注册已上线”。首批封测建议由平台开机构，再受控邀请成员。