上线版: 产品表单统一+form嵌套修复+用户管理+部署+三套叙事

- 产品编辑入口统一走 ProductFormFull(卖点/风格/人群/品牌词全字段);
  修复开任务页 <form> 套 <form> 致"编辑产品"报错、改不了、跳回首个产品
- dashboard 入口卡片对齐实际路由: 系统管理(/config) 与 工作配置(/settings) 分开;
  settings ?tab=products 直达改用挂载后读 URL, 消除 hydration mismatch
- 新增用户管理(users API/admin service/改密页) + alembic 022/023/024
- 上线部署: Dockerfile / docker-compose.prod+https / nginx https / .env.example
- A8 三套正交叙事(痛点/场景/成分背书) + beige 调色去AI化 + 飞轮 text_import 高权重信号

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

docs/ops/fernet.md

@@ -0,0 +1,34 @@
+# FERNET_KEY 管理
+
+`FERNET_KEY` 用于加密客户在工作台录入的 API Key。它不是普通配置，必须单独备份。
+
+## 规则
+
+- 每个生产环境生成唯一 `FERNET_KEY`。
+- 不要复用本地测试环境的 key。
+- 不要提交到 git。
+- 不要发在聊天记录里。
+- 备份时和数据库备份分开放置。
+
+## 丢失后果
+
+如果 `FERNET_KEY` 丢失，数据库里的客户 API Key 密文无法解密，客户需要重新录入 key。
+
+## 生成方式
+
+```bash
+python3 - <<'PY'
+from cryptography.fernet import Fernet
+print(Fernet.generate_key().decode())
+PY
+```
+
+## 轮换方式
+
+一期不做密文在线重加密。需要轮换时：
+
+1. 通知客户暂停生成。
+2. 清空 `user_api_keys` 中旧密文，或让客户在设置页逐个覆盖录入。
+3. 更新服务器 `.env` 的 `FERNET_KEY`。
+4. 重启 api/worker。
+5. 让客户重新录入 API Key。

docs/ops/runbook.md

@@ -0,0 +1,74 @@
+# Clover 运维手册
+
+## 部署
+
+1. 复制 `.env.example` 为 `.env`。
+2. 填写 `FERNET_KEY`、`JWT_SECRET`、数据库密码、域名、AI provider base URL。
+3. 如果前端和 API 走同一个 nginx 域名，`NEXT_PUBLIC_API_BASE_URL` 和 `NEXT_PUBLIC_SSE_BASE_URL` 保持空；如果前后端分域，填公网 API 域名，并且每次修改后必须重新 build 前端镜像。
+4. 内测 HTTP 启动：
+
+```bash
+docker compose -f docker-compose.prod.yml --env-file .env up -d --build
+```
+
+5. 正式 HTTPS 启动前置条件：
+
+- 域名已经解析到服务器公网 IP。
+- 证书文件放在 `certs/fullchain.pem` 和 `certs/privkey.pem`。
+- `.env` 的 `CORS_ALLOW_ORIGINS` 填真实 HTTPS 域名。
+
+```bash
+docker compose -f docker-compose.prod.yml -f docker-compose.https.yml --env-file .env up -d --build
+```
+
+6. 查看状态：
+
+```bash
+docker compose -f docker-compose.prod.yml ps
+curl http://127.0.0.1/health
+```
+
+HTTPS 模式验证：
+
+```bash
+docker compose -f docker-compose.prod.yml -f docker-compose.https.yml ps
+curl -I https://<domain>/health
+```
+
+## 更新
+
+```bash
+git fetch --tags
+git checkout <delivery-tag>
+docker compose -f docker-compose.prod.yml --env-file .env up -d --build
+```
+
+## 回滚
+
+```bash
+git checkout <previous-delivery-tag>
+docker compose -f docker-compose.prod.yml --env-file .env up -d --build
+```
+
+## 备份
+
+```bash
+cd backend
+MYSQL_USER=clover MYSQL_PASSWORD='<password>' MYSQL_DB=clover sh scripts/backup.sh
+```
+
+备份内容包括 MySQL、MongoDB、uploads。
+
+## 密钥
+
+- `FERNET_KEY` 必须备份，丢失后客户 API Key 需要重新录入。
+- `JWT_SECRET` 轮换会让所有登录态失效。
+- 服务器 `.env` 可放测试公共 key；客户自购 key 应在工作台由客户自己录入。
+
+## 日志
+
+```bash
+docker compose -f docker-compose.prod.yml logs -f api
+docker compose -f docker-compose.prod.yml logs -f worker
+docker compose -f docker-compose.prod.yml logs -f nginx
+```

docs/ops/troubleshooting.md

@@ -0,0 +1,52 @@
+# Clover 排障手册
+
+## 服务不可访问
+
+```bash
+docker compose -f docker-compose.prod.yml ps
+docker compose -f docker-compose.prod.yml logs --tail=100 nginx
+curl -I http://127.0.0.1/
+```
+
+## 后端异常
+
+```bash
+curl http://127.0.0.1/health
+docker compose -f docker-compose.prod.yml logs --tail=200 api
+docker compose -f docker-compose.prod.yml logs --tail=200 worker
+```
+
+## SSE 没有实时进度
+
+检查 nginx 是否关闭缓冲：
+
+```bash
+curl -N -H "Accept: text/event-stream" "http://127.0.0.1/api/v1/tasks/<task_id>/stream?ticket=<ticket>"
+```
+
+应能持续收到 named event。nginx 配置必须包含 `proxy_buffering off` 和 `X-Accel-Buffering: no`。
+
+## 图片显示 404
+
+```bash
+docker compose -f docker-compose.prod.yml exec api ls -lah /app/uploads
+docker compose -f docker-compose.prod.yml exec worker ls -lah /app/uploads
+curl -I http://127.0.0.1/uploads/<path>
+```
+
+api 和 worker 必须共享同一个 `uploads` volume。
+
+## 生成失败
+
+常见原因：
+
+- 客户未录入 API Key。
+- provider key 余额不足或无权限。
+- 上游中转站 429/503。
+- 产品入镜但未上传产品图。
+
+查看 worker 日志：
+
+```bash
+docker compose -f docker-compose.prod.yml logs --tail=200 worker
+```