docs(audit): twenty-third batch ledger — reaper node pin (#38 + multi-node gap)

AUDIT-2026-09-22.md

@@ -233,13 +233,22 @@ IPv6-only 接入（`ssh -6 -i ~/.ssh/id_ed25519 root@fdb2:2c26:f4e4:0:21c:42ff:f
 - **缺陷 #37（面板·fleet 死操作）**：`login`/`lobby` 是平台自建系统服务、名字在保留名单里，于是**每个 per-server 路由都用 `ValidateServerName` 拒绝**（400 `bad_name`）——但管理端 fleet 表格给这两行渲染 认领/停止/唤醒/控制台，全是死操作（控制台链接点进去也是一页 `invalid server name: reserved`）。修复 `2f90851`：`naming.IsSystemServer` 作为唯一事实源；fleet 行附 `system:true`；面板把这两行渲染为「系统服务」纯标签（owner 列 + 操作列），不再给任何动作。玩家侧不受影响（`/me/servers` 本就不含系统服务）。
 - **绿证据（auditfix35，真机）**：`GET /fleet`（owner）→ `lobby system:true`、`login system:true`、`test-one/resolvecheck` 无 flag；面板 CDP：两行「系统服务」、**0 按钮 0 链接**；`test-one` 行照常 认领/控制台、无系统标记；零 4xx。Go 侧新增 `TestIsSystemServer` + `TestFleetAdminRead` 的 system 子测试。
 
+### 本轮新增真机证据（第二十三批：缺陷 #38 + 多节点回收缺口 —— reaper 提示过期 / 钉节点）
+
+- **缺陷 #38（CLI·提示过期）**：`felis manifests` 渲染 reaper 时的 stderr 提示还在教“uid 1000 需要 `setfacl -m u:1000:x` 才能遍历存储根”——#35 之后 reaper 已改为 **root + DAC_OVERRIDE**，这条指导已失效且会误导运维（照做无害但白做，真问题被掩盖）。同批落 **多节点回收缺口**（结论第 5 条）：新增 `--reaper-node`，reaper CronJob 的 pod 渲染 `nodeSelector kubernetes.io/hostname=<node>`；多节点集群必须钉在存世界的节点，否则可能调度到 hostPath 为空的节点。`--reaper-node` 无 `--worlds-host-path` 时 fail-loud exit 2。修复 `daf7602`（双测：`TestReaperCronJob_NodePin`、`TestManifestsReaperNodePin`）。
+- **绿证据（auditfix36，真机 render + dry-run + 收敛 diff）**：
+  1. **固定渲染**：`felis manifests --felis-image felis:auditfix36 --velocity-cidr 10.211.55.6/32 --panel-node-port 30443 --worlds-host-path /var/lib/rancher/k3s/storage --archive-local-path /var/lib/felis/archives --reaper-node localhost.localdomain` → exit 0；bundle 内 `kubernetes.io/hostname: localhost.localdomain`；stderr **0 处** uid 1000 / setfacl，改为「已钉到节点 …」；
+  2. **负例**：`--reaper-node` 无 `--worlds-host-path` → exit 2 + 原文；不传 node 的渲染 stderr 仍完整保留「NO nodeSelector … 多节点必须传 --reaper-node」警示，bundle 内 0 个 selector；
+  3. **`kubectl apply --dry-run=server -f -`**：整包 **全部 configured**（含新 nodeSelector 的 CronJob）；
+  4. **再安装收敛性 diff**（`kubectl diff`，本批新增的收敛证据）：与 live 对比只剩 **一个对象**（reaper CronJob）两处实质增量——`+env FELIS_SMTP_PASSWORD`（热升级期未补的模板字段）与本次显式传入的 `+nodeSelector`；其余 24 份文档（api/operator Deployment、RBAC、NetworkPolicy、PVC、registry）**零差异**——即“热补丁过的 live 对象”与“当前代码重渲染”已收敛（reaper 安全上下文 root+DAC_OVERRIDE 两侧一致，无 diff）。
+
 ## 结论：离"生产可用"还差什么（按优先级）
 
 1. ~~构建链路的上下文通道~~ ✅ **已修**（`f79e5eb`/`02fd2de`，真机全链路含拉回校验；Trivy DB 需按 §8e 镜像一次）。
 2. **镜像耐久**：kubelet 仍可能 GC 掉"当前无人使用"的镜像（游戏镜像已实测发生）。把控制面与游戏镜像推入内建 registry 并让 Deployment/StatefulSet 引用 registry 路径，可免去"事故后人工重导入"。本轮已用 runbook（troubleshooting §13b）兜住。
 3. ~~PG 级契约测试~~ ✅ **已落地**（`2a55a0d`）：`internal/pgint`（`-tags pgint`，需 `FELIS_TEST_PG_URL` 指向名字含 `pgint` 的库，harness 会 drop schema + 重放真实迁移）已覆盖会话/OTP/op-login/绑定码/submission/build/owner 角色；**首跑即抓到 #20**（索引与 ErrEmailTaken 从未存在）。运行方式见 CONTRIBUTING.md。
 4. ~~面板把 /jobs 显示出来~~ ✅ **已完成**（`97a64c8`，备份页「最近操作」卡，正是它把 #35 暴露出来的）。
-5. **多节点回收**：reaper CronJob 无 nodeSelector，多节点需按卷所在节点加 selector（代码与文档均已标注，未实现调度约束）。
+5. ~~多节点回收~~ ✅ **已修**（`daf7602`：`--reaper-node` → CronJob pod `kubernetes.io/hostname` nodeSelector，真机 render/dry-run/收敛 diff 三连；单节点部署不传即维持原状）。附带核销缺陷 #38（渲染提示里过期的 uid-1000/setfacl 指导）。
 6. **告警**：felis_* 指标已全有生产者，但无非告警；磁盘/内存阈值告警建议随部署一并给出。
 7. ~~玩家可见的构建结果~~ ✅ **已修**（`72c4aa3`，缺陷 #36：列表路由附 `build_status`/`build_error`，面板「我的提交」展开行呈现，真机双例验证）。
 8. ~~面板文件编辑器入口~~ ✅ **已补**（`0a36b3f`，缺口补齐，真机 CDP 全链）。