fix(provision): harden batch scoping and remote43 import validation

docs/EXECUTION_BOARD.md

@@ -1,7 +1,7 @@
 # sub2api-cn-relay-manager 执行板
 
-日期：2026-05-18
-当前 Gate：APPROVED（按 PRD 首版范围放行；代码门禁通过，真实宿主 fresh redeploy 复验已确认 self_service / subscription 访问链路可打通，且已补充 reconcile host-scope acceptance artifact）
+日期：2026-05-19
+当前 Gate：CONDITIONAL_APPROVED（代码门禁通过；2026-05-18 fresh redeploy 验证确认 self_service / subscription 访问链路可打通，但 2026-05-19 current-code remote43 DeepSeek 验收仍未闭环，失败根因已收敛为上游 key/模型能力与预期不匹配）
 目标：实现独立控制面、零侵入宿主、可导入国产模型并具备可运维的导入/回滚/访问闭环。
 
 ## 本轮已完成
@@ -33,6 +33,10 @@
    - `self_service`：`artifacts/real-host-acceptance/20260518_reconcile_hostscope_self_service`
    - `subscription`：`artifacts/real-host-acceptance/20260518_reconcile_hostscope_subscription`
    - 已补齐 `status / resources / reconcile / batch detail / rollback` 的 host-scoped artifact，验证 batch detail 的 reconcile 视图按 batch 收口
+9. current-code remote43 导入链路已补齐 tunnel-aware 验证能力
+   - `scripts/import_remote43_provider.sh` 新增 `CRM_HOST_BASE`，允许把“operator 访问 host 地址”和“CRM 进程访问 host 地址”分离
+   - latest artifact：`/home/long/artifacts/real-host-acceptance/20260519_195827_remote43_deepseek_key_import`
+   - 结论：import / batch detail / managed resources 已真实落库，但 DeepSeek subscription access gate 仍失败
 
 ## 已验证门禁
 
@@ -59,20 +63,40 @@
    - 修正后：创建 subscription 类型 group、完成普通用户订阅分配、并把普通用户 key 绑定到该 group 后，`06-subscription-after-assign.headers.txt` 显示 `HTTP/1.1 200 OK`
    - 结论：`subscription` 主链路也已在 fresh host 上真实打通；其可用前提不是“宿主自动初始化一切”，而是显式完成 subscription group / user subscription / key binding 这一套运营动作。
 
-## 剩余项（非阻塞，P2 / 运营前置）
+## 2026-05-19 current-code remote43 验收补充结论
 
-1. 结构债务仍存在
+1. 验收入口
+   - 证据目录：`/home/long/artifacts/real-host-acceptance/20260519_195827_remote43_deepseek_key_import`
+   - 本地 CRM 通过隧道访问 remote host，`CRM_HOST_BASE` 指向 CRM 侧可达的 host 地址
+2. 导入链路结论
+   - `import` 成功返回 `batch_id=19`
+   - `managed_resources` 已包含 `group/channel/plan/account`
+   - `provider_status=partially_succeeded`，说明已进入真实业务路径，不再是 host 注册/pack path/隧道前置问题
+3. access gate 失败结论
+   - `latest_access_status=broken`
+   - `access preview available=false`
+   - `reconcile status=drifted`，其中 `probe_failures=1`
+4. 根因归类
+   - `09-models.headers.txt` / `10-models.body.json` 显示普通用户实际看到的是 GPT 系模型，而非预期的 `deepseek-v4-pro`
+   - 因此本轮 FAIL 应归类为“上游 key/模型能力不匹配或普通用户绑定命中了错误 group”，不是 current-code CRM bootstrap / import 主链路故障。
+
+## 剩余项（含当前外部门禁）
+
+1. DeepSeek real-host access gate 仍未闭环（外部门禁）
+   - 需要满足 smoke model 的真实 key / group 绑定，确保普通用户 `/v1/models` 暴露 DeepSeek 目标模型而不是 GPT 系模型
+   - 在 current-code remote43 路径上，这一项仍是上线前 NO-go 条件
+2. 结构债务仍存在
    - access / reconcile 尚未完全按 implementation plan 物理拆分
    - 无内置 scheduler/jobs
-2. 运营前置动作需要 runbook 化执行
+3. 运营前置动作需要 runbook 化执行
    - 真实宿主初始化不会自动创建普通用户；验收或上线前必须显式创建普通用户并留存可复用凭据
    - `self_service` 需要普通用户 key 绑定目标标准 group，且通常还需要可用余额
    - `subscription` 需要 subscription 类型 group + 普通用户订阅分配 + key/group 绑定
-3. 标准多阶段 Dockerfile 在受限网络环境下仍不稳
+4. 标准多阶段 Dockerfile 在受限网络环境下仍不稳
    - 当前推荐 `scripts/build_local_image.sh` + `Dockerfile.local`
-4. 真实宿主验收工具已补自动化闭环
+5. 真实宿主验收工具已补自动化闭环
    - `scripts/real_host_acceptance.sh` 支持 `AFTER_IMPORT_HOOK_COMMAND`，可把宿主侧 access 前置动作收敛进同一条 artifact 链
-   - `scripts/import_remote43_provider.sh` 已内置 remote43 subscription 的“补余额 + key/group 绑定 + subscription upsert + Redis flush + host state 落盘”
+   - `scripts/import_remote43_provider.sh` 已内置 remote43 subscription 的“补余额 + key/group 绑定 + subscription upsert + 定向 Redis 缓存失效 + host state 落盘”
 
 ## 当前最短上线路径