docs(release): pin first Portainer candidate

next/docs/portainer-preflight.md

@@ -30,11 +30,13 @@ legacy-review.db
 |---|---|
 | Name | `xiaobai-next-preflight` |
 | Repository URL | `http://192.168.200.36:3200/leefer/xiaobaifupan.git` |
-| Repository reference | `refs/heads/main` |
+| Repository reference | `refs/tags/xiaobai-next-rc-20260730-1` |
 | Compose path | `next/compose.preflight.yaml` |
 
 私有 Gitea 仓库使用 Portainer 的仓库认证字段填写用户名和访问令牌，不把凭据拼进 URL。
-关闭自动更新；预检阶段只部署已经记录 Git 提交号的版本。
+关闭自动更新；预检阶段只部署发布候选清单登记的不可变Git标签。禁止改回`refs/heads/main`，
+否则重新部署可能静默构建到不同提交。标签、镜像名、迁移基线和核验方式见
+[`final/release-candidate.md`](final/release-candidate.md)。
 
 在 Stack 环境变量中填写：
 
@@ -42,7 +44,7 @@ legacy-review.db
 |---|---|
 | `APP_ENCRYPTION_KEY` | 与旧数据库配套的原始 Fernet 密钥 |
 | `APP_STORAGE_PATH` | 第 1 步创建的 NAS 绝对路径 |
-| `APP_IMAGE` | `xiaobai-review-next:preflight-<Git短哈希>` |
+| `APP_IMAGE` | `xiaobai-review-next:rc-20260730-1` |
 | `APP_PUBLISH_PORT` | `8876` |
 | `APP_LOG_LEVEL` | `INFO` |
 | `APP_TIMEZONE` | `Asia/Shanghai` |
@@ -81,6 +83,7 @@ http://192.168.200.11:8876/api/health
 在 Portainer 的容器详情中确认：
 
 - 镜像标签与记录的 Git 提交一致；
+- Gitea中的`xiaobai-next-rc-20260730-1`标签仍指向发布候选清单登记的提交；
 - 容器用户不是 root；
 - Root filesystem 为只读；
 - Capabilities 已全部移除；