日常更新

docs/03-03-k3s-traefik-dashboard-acme.md

@@ -5,15 +5,16 @@
 
 ## TL;DR
 
-- **自动化验收**：`./scripts/verify.sh run 03-03`
-- **关键前置**：按本文「前置条件」准备环境变量/Secret/入口 IP
-- **成功判据**：达到本文「预期」且 playbook 断言通过
+- **自动化验收**（仓库根，先加载环境）：`set -a && source ansible/env/.env.verify && set +a && ./ansible/bin/verify.sh run 03-03`（**`ACME_EMAIL`、`CF_API_TOKEN` 等已写入 `.env.verify` 时无需再 `export`，也不要用 `env -u` 清变量**）。若仅想验证「缺邮箱」门禁，可临时：`env -u ACME_EMAIL ./ansible/bin/verify.sh run 03-03`。
+- **关键前置**：`ACME_EMAIL`（必填）；Cloudflare DNS-01 时需 **`CF_API_TOKEN`** 或集群内已有 **`kube-system/cloudflare-api-token`** Secret；可选 **`TRAEFIK_DASHBOARD_VERIFY_URL`**（完整 HTTP URL；未设则探针默认 `http://<k3s_server_ip>/dashboard/`，见 `ansible/group_vars/all.yml` 中 `k3s_server_ip`）
+- **成功判据**：playbook 中 Traefik **`kubectl rollout status`** 成功 + Dashboard HTTP 探针 **200**（`[OC-ASSERT]` 可解析）
+- **与 03-02 关系**：二者均向同一 **`HelmChartConfig/traefik`** 提交配置；**后执行**的 verify **会覆盖**先应用的 Traefik 值；全量 `verify.sh full` 时请注意顺序或只选其一做真实 apply。
 - **排障**：见本文「排障」
 
 ## 前置条件
 
 - 已完成 `01-02-k3s-工作节点.md`（集群与 Traefik 可用）
-- 若使用 Cloudflare DNS 验证：域名托管在 Cloudflare，已获取 API Token
+- 若使用 Cloudflare DNS 验证：域名托管在 Cloudflare，已获取 API Token（或按上文由 `CF_API_TOKEN` 在验收时创建 Secret）
 
 ## 1. 创建 Secret（Cloudflare API Token）
 
@@ -153,7 +154,7 @@ sudo rm -f /storage/server/manifests/traefik-dashboard-acme.yaml
 
 - `03-02-k3s-traefik-acme.md`：仅 ACME 不合并 Dashboard 时，或 TLS 矩阵（test01～test04）验证、排障详情
 - `03-04-k3s-cloudflare-tunnel-配置接入.md`：若需 Cloudflare Tunnel 接入
-- `01-07-openwrt-haproxy.md`：如需调整外部端口/防火墙，参考 HAProxy 监听与转发（第 6 节）
+- `01-06-openwrt-haproxy.md`：如需调整外部端口/防火墙，参考 HAProxy 监听与转发（第 6 节）
 
 ## 排障