WIP-332 二号 · 运行时 L3 执行与代码级验证

沙箱代跑受限（如实登记，不造假 result）

探测 staging 100.64.1.230:8089/api/miniapp/config/site → HTTP 000（Tailscale 私有网段，沙箱无该网络）
无员工 access_token；L3 含 publish/rollback 写操作，沙箱无法安全代跑
一号 docs/delivery/evidence/c1/332/staging-l3.sh 已提供机位代跑脚本（需机位 + 员工 token）
→ 运行时 L3（发布→版本+1→C端生效→回退核对）待机位执行，我不可伪造通过/失败

代码级验证（我可完成且已完成的根因层）

小冈 323 联动修复已在 main（miniapp_config_governance.py），逐行核对：

L3 步骤	后端实装	结论
发布→版本+1	POST /publish：`_insert_version`(INSERT RETURNING version) + `_sync_brand`	✓ 版本自增 + 写 C端读源
C端生效	`_sync_brand` → `site_config('brand')` UPSERT；GET /config/site 读该源	✓ BLK-332-1/2 解决
回退核对	POST /rollback：读旧快照→`_insert_version`(新版本)→`_sync_brand`	✓ 回退返旧品牌
404	rollback 目标版本不存在→HTTPException 404	✓
422	snapshot 未知字段/https/themePrimary HEX 校验	✓ 与前端一致

前端（本单）接真最终态

ConfigVersion.tsx：fixture 已全部移除（残留仅注释），mount/刷新固定 listConfigVersions，publish/rollback 全真
note 必填+≤100、snapshot: ConfigSnapshot|null、isCurrent/publishedBy/publishedAt 对齐
a端 tsc=0、build=0（见 typecheck 日志）

结论

前端接真 + 后端联动修复均就绪；运行时 L3 的唯一前置 = 机位 shell 执行一号脚本。交付判据待机位回传（与 c1/332 对照同源数据）。