步骤状态：1.1 ✓（残留 tenant_t_demo-app 已退场，tenant 容器=0）/ 1.2 ✓（registry 含 t_demo）/ 1.3 ✓（t_demo.yaml 生成：appid 留空不复用+t-demo 子域+品牌换色）/ 1.4 ✓（registry.sh 幂等登记）/ 1.9 ✓（nginx DRY 渲染完成未写盘）/ 1.10 ❌（cert DRY 预检失败——发现登记见下）
发现①（hooks 缺口）：nginx.sh/cert.sh 域名渲染直接用 tenant_id（t_demo）——下划线在 DNS 主机名非法 ⇒ hooks 需 slug 转换（SLUG=${tenant_id//_/-} → t-demo）。修法 0.5 人日，登记 WIP-364 小齐顺带或 368。
发现②（DNS 预配）：t-demo.kailashi.cn 四子域 DNS 未解析 ⇒ LE 预检必然不过。演练期处置：cert 步骤按「DRY-预检-发现登记」收，不阻塞第二幕（cert 属上线期真跑件）；正式上线前需 DNS 泛解析或逐域预配。