feat: add authenticated Docker deployment

README.md

@@ -14,6 +14,7 @@
 - 固定版本 `minitool-zip-builder 1.6.0` 审计
 - 校验通过后生成 ZIP
 - 闲置项目 `node_modules` 自动清理
+- 生产环境 Basic Auth、Docker 健康检查、持久化部署与失败回滚
 
 ## 本地运行
 
@@ -24,6 +25,16 @@ npm run dev
 
 访问 `http://localhost:3000`。API 契约位于 `http://localhost:3000/openapi.json`，编码代理说明见 [AGENT_GUIDE.md](./AGENT_GUIDE.md)。
 
+开发模式未配置 `STUDIO_PASSWORD` 时允许本地访问；生产模式必须提供密码，否则业务页面和 API 返回 503。`GET /api/health` 始终公开，用于容器健康检查。
+
+## 持续部署
+
+`main` 分支的 CI 全部通过后，会通过 runner 挂载的 Docker socket 构建并部署 `rednote-tool-studio` 容器。默认映射宿主机端口 `3000`，使用命名卷 `rednote-tool-studio-data` 保存项目。
+
+仓库 Actions Secret 必须包含 `STUDIO_PASSWORD`。可选仓库变量 `DEPLOY_PORT` 用于覆盖宿主机端口。部署先停止并保留旧容器，候选容器健康后才删除旧容器；候选失败时恢复旧版本。
+
+首次配置时，在 Gitea 仓库的 `Settings → Actions → Secrets` 创建 `STUDIO_PASSWORD`。若本机由 Codex 生成过密码，可从 macOS Keychain 的 service `rednote-tool-studio`、account `studio` 读取；不要把密码提交到仓库或粘贴到聊天中。Secret 尚未配置时，CI 会完成全部验证并安全跳过部署。
+
 ## 闲置依赖清理
 
 服务启动后每小时扫描一次托管项目。项目超过 24 小时没有 API、预览或构建访问时，会删除：