diff --git a/.gitea/workflows/ci.yml b/.gitea/workflows/ci.yml
index c6b15c7..3269eed 100644
--- a/.gitea/workflows/ci.yml
+++ b/.gitea/workflows/ci.yml
@@ -1,21 +1,14 @@
 name: ci-userbase-service
 
-# 后端标准化 CI：maven 构建 jar -> docker build -> 推 Nexus docker-hosted
-# 触发：push 到 main（本仓库为 UserBaseService 独立仓，代码在根目录）/ 手动 Run workflow
-# 依赖仓库 Actions Secrets：NEXUS_USER / NEXUS_PASSWORD（ci-docker 账号，仅 docker-hosted 推送权）
+# 后端标准化 CI（projman 发布链路版）：
+#   maven 构建 jar -> docker build -> 推 Nexus docker-hosted -> webhook 通知 projman 建档
+#   部署由 projman 执行（app userbase id=18，目标 10001）：manual 模式待手动部署 / auto 模式自动部署
+# 触发：push 到 main / 手动 Run workflow
+# 依赖仓库 Actions Secrets：NEXUS_USER / NEXUS_PASSWORD（ci-docker 账号）/ DEPLOY_TOKEN（projman webhook 鉴权）
 on:
   push:
     branches: [main]
   workflow_dispatch:
-    inputs:
-      tag:
-        description: 'image tag (default = short sha)'
-        required: false
-        default: 'auto'
-      deploy:
-        description: 'deploy to 160 after build (auto / skip)'
-        required: false
-        default: 'auto'
 
 jobs:
   build-and-push:
@@ -27,25 +20,25 @@ jobs:
     container:
       image: docker:24
     steps:
-      # docker:24 基于 alpine，默认无 git；先装 git 再手动 clone 本仓库
-      - name: Install git (alpine)
-        run: apk add --no-cache git
+      # docker:24 基于 alpine，默认无 git/curl；先装再手动 clone 本仓库
+      - name: Install git/curl (alpine)
+        run: apk add --no-cache git curl
 
       # 内网 Gitea 无法访问 github.com 拉取 actions/checkout，改为直接 clone 本仓库
       - name: Checkout (manual, internal Gitea)
+        env:
+          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
         run: |
-          git clone --depth 1 --branch main http://192.168.10.160:3000/${GITHUB_REPOSITORY}.git /tmp/src
+          git clone --depth 1 --branch main "http://x-access-token:${GITHUB_TOKEN}@gitea.yunhaixingtong.com/${GITHUB_REPOSITORY}.git" /tmp/src
           cp -a /tmp/src/. .
           rm -rf /tmp/src
+          # 取提交备注首行，脱去换行/双引号/反斜杠（避免破坏 webhook JSON），截断到 200 字符
+          COMMIT_MSG=$(git log -1 --pretty=%s | tr '\n' ' ' | sed 's/["\\]/ /g' | cut -c1-200)
+          echo "COMMIT_MSG=${COMMIT_MSG}" >> "$GITHUB_ENV"
 
       - name: Compute image tag
         id: meta
-        run: |
-          if [ "${{ inputs.tag }}" = "auto" ] || [ -z "${{ inputs.tag }}" ]; then
-            echo "tag=$(echo ${GITHUB_SHA} | cut -c1-7)" >> $GITHUB_OUTPUT
-          else
-            echo "tag=${{ inputs.tag }}" >> $GITHUB_OUTPUT
-          fi
+        run: echo "tag=$(echo ${GITHUB_SHA} | cut -c1-7)" >> $GITHUB_OUTPUT
 
       - name: Build jar with Maven
         run: |
@@ -55,23 +48,15 @@ jobs:
           # 直接 -v $PWD:/build 会绑成空目录导致找不到 pom.xml。
           # 故改为：起 maven 容器 -> docker cp 源码入容器 -> exec 构建 -> cp 产物回工作区。
           # mavenbuild 加入 infra-infra-net，用容器名 nexus 直连 Nexus(8081 maven-public)。
-          # 之前用 --add-host=nexus.yunhaixingtong.com:host-gateway 经 Caddy:80 反代，但该路径在
-          # CI 容器内不可达，maven 回退到 /opt/docker/ubs-m2 里 08-05 的旧 yh-auth 缓存(缺
-          # CasSsoAutoConfiguration)，镜像启动报 serverName 崩溃。现改用 settings.xml profile 把
-          # pom 的 HTTP 仓库重定向到 http://nexus:8081/repository/maven-public/（已验证 -7 可达）。
-          # 先清理上次失败残留的同名容器（set -e 下末尾的 rm 不会执行）
+          # settings.xml profile 把 pom 的 HTTP 仓库重定向到 http://nexus:8081/repository/maven-public/。
           docker rm -f mavenbuild 2>/dev/null || true
           docker run -d --name mavenbuild \
             --network infra-infra-net \
             -v /opt/docker/ubs-m2:/root/.m2 \
             -w /build maven:3.6.3-jdk-8 sleep 3600
           docker cp "${PWD}/." mavenbuild:/build/
-          # 写 settings.xml：新增 profile 把 nexus:8081 maven-public 作为额外仓库（infra-infra-net 内容器名直连，已验证 -7 可达）。
-          # 不用 mirror(external:http:*) 是因为它对 BOM import 解析未生效；profile 方式更可靠。
-          # pom 原有的 nexus.yunhaixingtong.com(Caddy:80) 在 CI 容器内不可解析 -> 快速失败，maven 转而用本仓库。
           docker exec mavenbuild sh -c "printf '%s' '<settings><profiles><profile><id>nexus-repo</id><repositories><repository><id>nexus-internal</id><url>http://nexus:8081/repository/maven-public/</url><releases><enabled>true</enabled></releases><snapshots><enabled>true</enabled><updatePolicy>always</updatePolicy></snapshots></repository></repositories></profile></profiles><activeProfiles><activeProfile>nexus-repo</activeProfile></activeProfiles></settings>' > /root/.m2/settings.xml"
-          # 仅清旧 yh-auth 缓存（含 08-05 local install 的 maven-metadata-local.xml，避免本地安装优先于远端 -7）；
-          # BOM 等其它 yh.platform 模块保留缓存（Nexus 上它们仍是 08-05 的 -1，缓存与远端一致）。
+          # 仅清旧 yh-auth 缓存（缺 CasSsoAutoConfiguration 的 08-05 本地安装版），强制从 Nexus 拉 -7
           docker exec mavenbuild rm -rf /root/.m2/repository/com/yunhai/platform/yh-auth-spring-boot-starter
           docker exec mavenbuild sh -c 'cd /build && mvn -U -B -DskipTests clean package'
           mkdir -p "${PWD}/target"
@@ -87,70 +72,13 @@ jobs:
       - name: Push image
         run: docker push nexus:8083/docker-hosted/userbase-service:${{ steps.meta.outputs.tag }}
 
+      # 通知 projman 建档（Release）；部署由 projman 按 app.deploy_mode 决定（manual=待部署 / auto=自动部署 10001）
+      - name: Notify projman (webhook)
+        run: |
+          curl -sS -X POST "http://192.168.10.160:8090/projman/api/deploy/webhook" \
+            -H "Content-Type: application/json" \
+            -H "X-Deploy-Token: ${{ secrets.DEPLOY_TOKEN }}" \
+            -d "{\"app\":\"userbase\",\"tag\":\"${{ steps.meta.outputs.tag }}\",\"sha\":\"${GITHUB_SHA}\",\"message\":\"${COMMIT_MSG}\"}"
+
       - name: Report build
         run: echo "pushed nexus:8083/docker-hosted/userbase-service:${{ steps.meta.outputs.tag }}"
-
-      # —— 部署阶段（仅在 push 或手动 dispatch deploy=auto 时执行）——
-      # 运行在 160 的 act_runner 上，复用宿主 docker daemon（docker.sock 由 act_runner 自动挂载），
-      # 因此 docker pull / run 直接作用于 160 宿主，等价于在 160 上执行部署。
-      - name: Deploy (pull + rollout with rollback)
-        if: github.event_name == 'push' || inputs.deploy == 'auto'
-        run: |
-          set +e
-          IMG=nexus:8083/docker-hosted/userbase-service:${{ steps.meta.outputs.tag }}
-          echo "deploying $IMG"
-          echo "${{ secrets.NEXUS_PASSWORD }}" | docker login nexus:8083 -u ${{ secrets.NEXUS_USER }} --password-stdin
-          docker pull "$IMG"
-          # 回滚锚：保留当前 userbase-service:latest（已知良好镜像），再额外打一个时间点标签
-          RB=userbase-service:rb-$(date +%s)
-          docker tag userbase-service:latest "$RB" 2>/dev/null || true
-          docker stop userbase-service 2>/dev/null; docker rm -f userbase-service 2>/dev/null
-          # bootstrap.yml 默认 nacos.config.enabled=false（本地不连）；CI 必须注入 NACOS_CONFIG_ENABLED=true 才会拉配置
-          # SPRING_PROFILES_ACTIVE=prod 激活生产 profile（留给将来拆 application-prod.yml 用）
-          # namespace/凭据仍用顶层 SPRING_CLOUD_NACOS_* env（bootstrap 的 ${...} 占位符才能解析到）
-          docker run -d --name userbase-service --restart unless-stopped --network infra-infra-net -p 8060:8060 \
-            --add-host sso.yunhaixingtong.com:192.168.10.160 \
-            --memory=1.5g --memory-swap=1.5g \
-            -v /data/logs/userbase:/app/logs \
-            -e JAVA_OPTS="-Xms512m -Xmx1024m -XX:MaxMetaspaceSize=256m" \
-            -e SPRING_PROFILES_ACTIVE=prod \
-            -e NACOS_CONFIG_ENABLED=true \
-            -e NACOS_ADDR=nacos:8848 \
-            -e SPRING_CLOUD_NACOS_CONFIG_NAMESPACE=6196f0de-a28d-4894-8f10-e2982b57c6bc \
-            -e SPRING_CLOUD_NACOS_USERNAME=yh-reader \
-            -e SPRING_CLOUD_NACOS_PASSWORD=123456 \
-            -e REDIS_PASSWORD=${{ secrets.REDIS_PASSWORD }} \
-            -e DB_PASSWORD=${{ secrets.DB_PASSWORD }} \
-            -e RABBITMQ_PASSWORD=${{ secrets.RABBITMQ_PASSWORD }} \
-            "$IMG"
-          # 健康检查：Spring 起来后 /userbase/ 返回 404（根路径无映射控制器），000 表示未起来
-          OK=0
-          for i in $(seq 1 30); do
-            sleep 5
-            CODE=$(curl -s -o /dev/null -w '%{http_code}' http://localhost:8060/userbase/ 2>/dev/null || true)
-            if [ "$CODE" != "000" ]; then OK=1; break; fi
-          done
-          if [ "$OK" = "0" ]; then
-            echo "!! UNHEALTHY -> rollback to userbase-service:latest"
-            docker stop userbase-service 2>/dev/null; docker rm -f userbase-service 2>/dev/null
-            # 回滚也必须注入同样的 env，否则 bootstrap 默认 enabled=false 会连不上 nacos 拉不到线上配置
-            docker run -d --name userbase-service --restart unless-stopped --network infra-infra-net -p 8060:8060 \
-              --add-host sso.yunhaixingtong.com:192.168.10.160 \
-              --memory=1.5g --memory-swap=1.5g \
-              -v /data/logs/userbase:/app/logs \
-              -e JAVA_OPTS="-Xms512m -Xmx1024m -XX:MaxMetaspaceSize=256m" \
-              -e SPRING_PROFILES_ACTIVE=prod \
-              -e NACOS_CONFIG_ENABLED=true \
-              -e NACOS_ADDR=nacos:8848 \
-              -e SPRING_CLOUD_NACOS_CONFIG_NAMESPACE=6196f0de-a28d-4894-8f10-e2982b57c6bc \
-              -e SPRING_CLOUD_NACOS_USERNAME=yh-reader \
-              -e SPRING_CLOUD_NACOS_PASSWORD=123456 \
-              -e REDIS_PASSWORD=${{ secrets.REDIS_PASSWORD }} \
-              -e DB_PASSWORD=${{ secrets.DB_PASSWORD }} \
-              -e RABBITMQ_PASSWORD=${{ secrets.RABBITMQ_PASSWORD }} \
-              userbase-service:latest
-            echo "rolled back"; exit 7
-          fi
-          echo "DEPLOY OK: $IMG"
-          docker tag "$IMG" userbase-service:latest
-          docker ps --format 'table {{.Names}}\t{{.Status}}\t{{.Image}}' | grep userbase || true