docs: 补充本地与远端发布约定

AGENTS.md

@@ -27,3 +27,14 @@
 
 - 阅读 `docs/dev.md` 了解开发前置知识
 - 阅读 `TODOS.md` 了解计划
+
+## 本地与远端发布约定
+
+- 本地 CPA 在 WSL 中运行，项目运行目录统一使用 `cpa-plugin/.runtime`；Windows 客户端经 `127.0.0.1` 访问 WSL 时，localhost 转发层可能不会立即向 CPA 传递客户端断开，取消链路测试优先在 WSL 内直连执行。
+- 从 PowerShell 跨 WSL 或 SSH 执行包含 Bash 变量、命令替换或多层引号的逻辑时，优先在 `.runtime/tmp/` 创建临时脚本后传入目标环境执行，不拼接复杂的单行 shell；临时脚本不提交。
+- CLIProxyAPI `v7.2.132` 的宿主补丁保存在 `patch/`，必须按 `usage-context`、`usage-identity`、`request-lifecycle-cancel` 的顺序应用；升级 CPA 后先复测补丁是否仍有必要。
+- CPA Linux 可执行文件解压后约 60 MiB，`gzip -9` 后约 20 MiB。上传远端时使用 gzip/tar.gz 或 `scp -C`，不要直接传输未压缩二进制；部署后的运行文件仍需解压为原始可执行文件。
+- 实际服务器为 `root@akko.pchuan.top`，CPA 根目录为 `/root/cpa`。只维护本项目的 `billing` 和已要求启用的 `keeper`，不启用或部署其他参考插件。
+- 远端替换 CPA 或 billing 前，先停止 `/root/cpa/cpa.sh` 管理的进程，并把旧二进制、插件和 `data/cpa-ext.db*` 备份到 `/root/cpa/backups/<timestamp>/`；新版本启动失败时恢复旧二进制和插件。
+- 远端验收只调用 `gpt-5.6-luna`，至少核对：无 Key 被拒绝、有效 billing Key 请求成功、请求明细只有一条且包含 Request ID 和 Token、额度发生一次扣减、`active_requests` 回到 0。
+- 管理密钥和下游 Key 从远端 secret 文件或管理 API 在脚本内部读取，禁止在终端输出、提交或写入普通日志；验证结果只输出 Key 名称、状态、额度配置和布尔结论。