docs(audit): thirty-ninth batch — reaper multi-node drill on a cloned second node

- 收尾静止态：test-one `Stopped`；三个名单 = whitelist `E2E_Tester` / banned `[]` / ops `[]`；`E2E_Bad` 仅余 latest.log 与 usercache.json（日志与 Mojang 缓存）。

- 留档（Mac）：脚本 `/tmp/cdp-run17a/17b/17c`（停止、写文件、还原）、`run18/18b/19`（备份、恢复对话框、完成等待）、`run20a/20b`（白名单加/减）、`run21/21b/22`（封禁重试、封禁、解封）、`run23`（维护窗口）＋同名 `-out.json`；截图 `run17b-1`、`run18-1..4`、`run18b-1,2`、`run19-1`、`run20a-1,2`、`run20b-1`、`run21b-1`、`run23-1..3`。

### 本轮新增真机证据（第三十九批：reaper 多节点实机 —— VM 克隆双节点验证）

**零、装置**：`prlctl clone "CentOS Linux 9 Stream" --linked --name felis-node2`（linked 克隆，初始 1.4M）→ node2 改 host 名 `felis-node2`，停用/禁用 `felis-velocity`、`k3s.service`（server 形态）、docker，以 k3s-agent 加入同一集群（`https://10.211.55.6:6443`，复用 node1 node-token）。克隆副作用 = node2 自带 node1 storage 副本（6 项 / 3.1G）——已移开，模拟真实新节点。两节点均 Ready（v1.36.4+k3s1）；为克隆，node1 经历一次正常重启，重启后组件/服务全回归（docker 随自启后又停回 `inactive`）。

**一、pin 正向**：`kubectl create job reaper-b39-ok --from=cronjob/felis-reaper`（live 模板原样，nodeSelector=`localhost.localdomain`；node2 无 taint、是合法调度候选）→ pod 落在 `localhost.localdomain`（nodeSelector 命中；backups PVC 的 affinity 亦指向同节点——两者本就该同节点），4s 跑通：`evaluated=2 reaped=0 warned=0 skipped=0 evicted=0 expired=0`、Job `Complete`。即：渲染出的 pin 在真实双节点集群把 reaper 钉在持盘节点。

**二、错位 pin 反向对照**：同模板把 nodeSelector 改成 `felis-node2` → pod 停在 **Pending**，scheduler 事件原文：`0/2 nodes are available: 1 node(s) didn't match PersistentVolume's node affinity, 1 node(s) didn't match Pod's node affinity/selector`——node1 被错位 selector 拒绝、node2 被 `felis-backups` PVC 的 volume node affinity 拒绝（PV `pvc-0b4fbda6-…`，nodeAffinity=`localhost.localdomain`、hostPath=`/var/lib/rancher/k3s/storage/pvc-0b4fbda6-…_minecraft_felis-backups`）。**结论：本部署形态下 pin 写错是 fail-closed（卡住 + 明确调度事件），不会在无世界节点上静默执行**；真正要防的是首跑顺序（全新多节点安装时，第一次 reaper 运行会把 backups PV 落在其所在节点）——这正是渲染默认要求 `--reaper-node` 并 stderr 警告的原因，维持现状不修。

**三、装置回收**：drill job ×2 删除（minecraft ns 无残留）；node2 关机 → `kubectl delete node felis-node2` → `prlctl delete felis-node2`（VM+克隆件删除）。收尾 `get nodes` = 单节点 `localhost.localdomain`，felis/游戏 pod 全 Running，CronJob `suspend=false` + nodeSelector 原样，docker `inactive`。重启副作用按既有说明处理：Mac 侧 443 入面板依赖的手工 `socat` 中继（本台账开头注记「重启 VM 后需重开」）随重启消失——已按原样重开（`TCP6-LISTEN:443,ipv6only=0,reuseaddr,fork TCP:127.0.0.1:30443`）并复核 op.console 面板 / api-me / player 面板皆 200。

**四、留档**：node2 agent 上线日志（`k3s agent is up and running`、VXLAN subnet event 来自 10.211.55.6）；两向 job 的 pod/调度事件原文（见上）；`/root/node2-storage-copy/`（3.1G，随 VM 删除）。

## 结论：离"生产可用"还差什么（按优先级）

1. ~~构建链路的上下文通道~~ ✅ **已修**（`f79e5eb`/`02fd2de`，真机全链路含拉回校验；Trivy DB 需按 §8e 镜像一次）。

15. ~~管理面交互级收尾（submissions / 会话撤销 / 启动）~~ ✅ **已演练**（第三十七批：点击→构建→succeeded 全链、单条/全部撤销精确验证；同批修 #61——LP 写承诺按 LP 官方语义收窄，真机复验）。

16. ~~缺陷 #56–#59（玩家管理回包 / 控制台回显 / 文件页 fail-fast / LP 诚实化）~~ ✅ **已修并归档**（第三十八批回填真机证据：修复前触发 + 修复后复验，四项全绿）。

17. ~~服务器详情与运维面收尾~~ ✅ **已演练**（第三十八批：ServerFiles 写流程、备份/恢复全链、白名单/封禁闭环、ServerCard 停止、`/admin/updates` 复跑、metrics、CLI 核销——0 缺陷）。

18. ~~reaper 多节点实机~~ ✅ **已演练**（第三十九批：VM 克隆双节点 k3s——pin 命中持盘节点并跑通、错位 pin fail-closed Pending、装置全回收；`felis-backups` PVC 的 volume node affinity 构成第二层保险）。

## 剩余待演练队列（截至第三十八批）

- **reaper 多节点实机**：`--reaper-node` 渲染/dry-run/收敛已过（第二十三批）；真实多节点调度行为需要第二台机器组双节点集群，单节点环境覆盖不到（已知缺口）。

- ~~reaper 多节点实机~~ ✅ 已完结（第三十九批：临时克隆第二节点组双节点 k3s 实机——pin 命中持盘节点并跑通、错位 pin fail-closed Pending；装置已回收）。

- ~~面板交互级收尾~~ ✅ 已完结（第三十六–三十八批：管理面写操作、submissions/会话、服务器详情页全链，0 缺陷）。

- **`demo-up.sh`**（可选）：dev/demo 路径，第三十二批口径未改。

- setup 重跑向导（第二十六批）：状态屏 `c/s/e` 三流已走查；**reconfigure 非只读**——storage 选 Local / 提交 S3 即 apply + 滚 API（幂等），email 表单 esc 无副作用；从 S3 表单 esc 退回会重置为 Local 预选；存储屏（第三十二批补充）：chooser 预选当前值（↑↓ 切换），Local 直接 enter 提交、S3 五字段 `enter next`/末字段 `enter submit`，提交后 10–40s（含 API rollout status 180s 上限）

- VM 内部面：`k3s kubectl -n felis port-forward svc/felis-api-internal 18081:8081`（Pod 重建后转发会悬死，需重启）；reaper CronJob（minecraft ns）已应用且已收敛（`suspend=false`）

- 第三十八批收尾复查：docker `inactive`；控制面三处 = `auditfix61`；`/opt/felis/src` = `b4ef42d` tarball 展开（无 `.git`）；reaper `suspend=false` + `nodeSelector=localhost.localdomain`；test-one `Stopped`；`resolvecheck` 文件接口 409 `no_world_volume`（0.03s）

- 第三十九批 drill（已回收）：临时 VM `felis-node2`（`prlctl clone --linked` 克隆 node1；node2 停用 felis-velocity/k3s-server/docker 后以 agent 加入）——流程与两向对照见该批节；node1 为克隆经历过一次正常重启（组件全回归、docker 停回 `inactive`）；收尾 job/节点对象/VM 全部删除，集群回到单节点