devops: 备案通过回切 https 域名 + 流水线 Ali 单轨

- nginx-jiu-ali.conf：443 ssl+http2 正式入口（HSTS/XFO/nosniff 安全头、
  ACME webroot 续期通道、80→443 跳转）；8443 明文过渡口拆除
- 客户端构建 URL 全量回切 https://jiu.51yanmei.com（compile×5/local_test/
  release-client/notify）
- 流水线去 EC2：deploy-client/site 单轨 Ali、manual 回滚与每日备份切 ali、
  seed/reset/debug-db 改容器内取密码（SEC-003，退役 DB_PASSWORD secret）

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01JJ1g8XV1YhhmHRzhwWEW7o

.gitea/workflows/deploy-client.yml

@@ -180,20 +180,9 @@ jobs:
           GITEA_REPOSITORY: ${{ gitea.repository }}
         run: sh scripts/ci/release-client.sh "${{ gitea.ref_name }}"
 
-      - name: Deploy → EC2
-        env:
-          FORGEJO_TOKEN: ${{ secrets.FORGEJO_TOKEN }}
-          FORGEJO_URL: ${{ secrets.FORGEJO_URL }}
-          GITEA_REPOSITORY: ${{ gitea.repository }}
-          EC2_SSH_KEY: ${{ secrets.EC2_SSH_KEY }}
-          EC2_HOST: ${{ secrets.EC2_HOST }}
-          EC2_USER: ${{ secrets.EC2_USER }}
-        run: sh scripts/ci/deploy-client.sh "${{ gitea.ref_name }}"
-
-      # 迁移期影子目标：同步 Flutter web + version.yaml + 安装包到阿里机。失败不挡 EC2。
-      - name: Deploy → Ali (migration shadow)
-        if: always()
-        continue-on-error: true
+      # 2026-07-03 割接后阿里机即唯一发布目标（EC2 轨移除；EC2 仅保留
+      # jiu.51yanmei.com 反代桥接到 ali，见 baize 台账）。
+      - name: Deploy → Ali
         env:
           FORGEJO_TOKEN: ${{ secrets.FORGEJO_TOKEN }}
           FORGEJO_URL: ${{ secrets.FORGEJO_URL }}