实现 Pingora 发行网关路由并关闭两处路由漂移待办

- 新增 RouteDecision::ReleaseGateway：/games/game_<32 位小写十六进制 id>/… 重写上游路径到 /api/game-distribution/releases/<gameId><asset>、清空 Cookie、不进 SPA fallback、不套接流保护分组、不受维护闸拦截，与 nginx 同名 location 同口径（只认小写 32 位十六进制）
- 路由矩阵新增 games_release_gateway 用例（含 upstreamPath 期望值）与对应断言；parity 门禁支持 release_gateway 并把 games_spa_fallback、games_release_gateway 列入必查清单
- check:pingora-gateway-smoke 新增三条运行时断言：重写到发行网关且上游拿不到 Cookie、/games/detail 仍走 SPA、/games/game/index.html 仍是真实 404
- 文档：Pingora 试点文档补「平台同源发行入口」语义；pitfalls 记录 SPA allowlist 三处真相源与「发行入口不是 SPA」；按 docs/project-memory/README.md 删除两份已关闭待办，关闭记录写入开放事项索引第五节
- 验证：网关 39 passed、check:pingora-route-parity OK（23 路由）、check:nginx-spa-routes OK（12 路由 / 3 模板）、check:pingora-gateway-smoke 通过、cargo fmt --all --check、check:production-ops、encoding / doc-index / diff 检查全绿；变异验证：矩阵 upstreamPath 写错或拿掉 /games/detail 都会立刻变红

docs/project-memory/shared-memory/pitfalls.md

@@ -17,6 +17,13 @@
 - **不要踩的坑**：`ss -t` 在没有状态过滤时不显示 LISTEN，连接被瞬拒时也抓不到 TCP 连接，不能用它判断 agent 是否在线；要看 `journalctl -u jenkins-agent@<name>`、`ss -tlnp` 的端口和 Jenkins 工作区归属。停 JNLP 单元前先确认控制器 `slaveAgentPort=-1` 且 SSH launcher 仍在跑，避免把唯一通道停掉。
 - **关联**：`/etc/systemd/system/jenkins-agent@.service`、`/etc/jenkins-agent/*.env`、`scripts/deploy/install-jenkins-inbound-agent.sh`。
 
+## 2026-09-29 主站 SPA allowlist 有三处真相源，只改一处就会让深链 404（含 Pingora）
+
+- **事实**：主站 SPA 路由要三处同批更新才自洽——① 前端路由源 `src/routing/activeAppPageRoutes.ts` 的 `STAGE_ROUTE_ENTRIES` 与 `src/routing/activeAppRoutes.tsx`；② Nginx 三份模板（`deploy/nginx/genarrative.conf`、`deploy/nginx/genarrative-dev-http.conf`、`deploy/container/nginx.conf`）里 `# BEGIN GENARRATIVE MAIN SPA ROUTES` 的精确 allowlist；③ Pingora 网关 `server-rs/crates/pingora-gateway/src/main.rs` 的 `MAIN_SPA_PATHS`（精确匹配、大小写不敏感、允许一个尾部斜杠）。
+- **代价**：2026-08-26 加 `/components`、`/design-system` 时只加了前端路由，两个门禁红了一个月（生产深链会 404 而不是 `index.html`）；2026-09-28（`87e52860a`「游戏发行入口改为平台同源路径」）补了 nginx 侧的 5 条 `/games*`，却漏了 Pingora 侧，`check:pingora-route-parity` 继续红到 2026-09-29 才补齐（`MAIN_SPA_PATHS` 5→12 条）。
+- **判据/入口**：`npm run check:nginx-spa-routes`（12 条路由 × 3 份模板；断言未知路径只读真实静态文件并 404、大小写与一个尾部斜杠容忍）与 `npm run check:pingora-route-parity`（同一套路由 + `MAIN_SPA_PATHS` 逐条相等）。后者还读 `deploy/pingora/nginx-route-parity.matrix.json`：新增路由要同时补矩阵用例，矩阵里的 `docs` 片段会去 `docs/technical/【开发运维】Pingora独立网关试点-2026-06-11.md` 里找，文档没写同样判红。
+- **别踩**：`/games/game_<32 位小写十六进制 id>/…` **不是** SPA 深链，而是发行网关路由（Nginx 代理到 `/api/game-distribution/releases/<gameId><asset>` 并 `proxy_set_header Cookie ""`），Pingora 侧对应 `RouteDecision::ReleaseGateway`（重写上游路径、清空 Cookie、不进 SPA fallback、不套 `limit_conn`/`limit_req`、不受维护闸拦截）。把它写进 `MAIN_SPA_PATHS`，或让 SPA 正则吞掉它，都会破坏在线游玩入口。`check:pingora-gateway-smoke` 已覆盖「重写到发行网关 + 清空 Cookie + 形状不符仍 404」；本机跑它要先设 `OPENSSL_CONF`（见本文件另一条），且改过网关源码后**不能**加 `--skip-build`（会拿旧二进制得到假 404）。
+
 ## AGC 版本探测必须显式提供隔离用户目录
 
 清空子进程环境后缺少 `USERPROFILE/HOME` 会让 npm 依赖 Windows 后备用户查询，部分机器报 `uv_os_homedir` / `ENOMEM`。正常机器探测成功不能证明环境完整，需同时验证子进程环境。版本探测使用临时用户目录和空 npm 配置，详见 [AGC 实施计划](../../technical/【技术方案】AI游戏创作智能体App实施计划-2026-06-24.md) 的“Web 环境版本探测的用户目录隔离”。