feat(deploy): 增加受控更新与环境配置迁移

README.md

@@ -172,9 +172,33 @@ mv easyai easyai2
 update.sh 脚本用于自动更新 EasyAI 应用，包含以下功能：
 - **拉取整个仓库**：执行 `git pull` 获取最新代码（docker-compose.yml、start.sh、.env.*.sample 等全部文件）
 - 自动补齐缺失的环境配置文件（.env、.env.tools、.env.ASG、.env.AMS，从 .sample 生成且不覆盖已有文件）
+- 每次默认执行 `scripts/update-env.d/` 中的版本化环境配置迁移，只补缺失/空值和必要列表项，不覆盖已有非空配置
+- 仓库版本发生变化时自动切换到拉取后的新版更新脚本继续执行，确保本次新增的迁移立即生效
 - 在重建服务前迁移并校验 `CONFIG_PUBLIC_API_BASE_URL`
 - 兼容 `docker compose` 和 `docker-compose` 两种命令格式
 - 自动拉取最新镜像并重启服务
+- 等待主服务、Web 和 WebSocket 网关恢复可用后才报告成功；拉取失败、启动失败或恢复超时会明确报告失败
+
+新安装默认启用可查询进度的在线更新模式。管理员在页面发起更新后，即使主服务重启导致原请求断开，页面也会根据任务编号继续查询最终结果。存量部署执行新版 `update.sh` / `update.ps1` 时会自动补齐新模式所需的缺失配置；已经显式设置 `SYSTEM_UPDATE_MODE=legacy_watchtower` 的环境仍保留原模式。新模式只管理 `easyai-server`、`easyai-web` 和 `ws-gateway`，数据库、Redis、RabbitMQ 等基础服务仍按原部署流程维护。
+
+更新执行器 `easyai-updater` 由 Watchtower 单独守护，默认每 24 小时检查并更新自身。它的任务状态保存在宿主机 `data/update-state` 中，自身更新或意外重启后会继续恢复未完成任务；Watchtower 不再接管三个核心服务，因此页面任务结果不会与后台静默替换相互冲突。
+
+存量部署无需手工编辑 `.env`。更新脚本会从 `scripts/update-env.d/010-managed-system-update.env` 应用以下缺省值：
+
+```dotenv
+SYSTEM_UPDATE_MODE=managed
+COMPOSE_PROFILES=managed-update
+WATCHTOWER_CORE_UPDATE_ENABLED=false
+WATCHTOWER_UPDATE_TARGET=easyai-updater
+SYSTEM_UPDATER_UPDATE_INTERVAL_SECONDS=86400
+UPDATE_HEALTH_TIMEOUT_MS=300000
+DOCKER_CONFIG_FILE=/root/.docker/config.json
+EASYAI_DEPLOYMENT_SCHEMA_VERSION=2
+```
+
+`SYSTEM_UPDATE_INTERNAL_TOKEN` 由 `start.sh` / `update.sh` 自动生成并持久化，不需要手工填写。`UPDATE_HEALTH_TIMEOUT_MS` 控制每个核心服务替换后的恢复等待时间，默认 300000 毫秒。私有镜像仓库需要先执行 `docker login`；更新器与仅负责其自更新的 Watchtower 都会只读挂载 `DOCKER_CONFIG_FILE` 指向的 Docker 登录配置。切换后执行一次 `./update.sh`，确认 `easyai-updater` 以及三个核心服务均处于可用状态。
+
+以后新增必需环境变量时，在 `scripts/update-env.d/` 增加新的编号 `.env` 文件即可，不需要继续把写入逻辑堆进 `update.sh`。迁移文件支持 `KEY=value`（仅在缺失或空值时写入）、`KEY+=item`（确保逗号列表包含该项），以及 `@skip-if KEY=value`（明确保留某种旧模式）；所有迁移每次都会执行并保持幂等。迁移失败会在拉取镜像前终止，避免使用半完成配置启动服务。
 
 ### 使用步骤
 1. [首次执行，后续无需重复执行]添加执行权限，命令：
@@ -213,6 +237,7 @@ UPDATE_SKIP_REPO_UPDATE=true ./update.sh
 - 脚本会执行 `git pull` 拉取整个仓库最新代码
 - 拉取后会检查并补齐缺失的 .env、.env.tools、.env.ASG、.env.AMS（不会覆盖已有文件）
 - 最后执行 `docker compose pull` 和 `docker compose up -d` 拉取镜像并重启服务
+- 默认最多等待 300 秒确认核心服务恢复可用；可通过 `UPDATE_HEALTH_TIMEOUT_SECONDS` 调整
 
 ### Windows 用户（update.ps1）
 Windows 下使用 `update.ps1`，功能与 Linux 版一致：