docs(skill): rewrite deploy playbook — MCP first, never Dokploy UI

dokploy-gitea-deploy/references/mcp-deploy.md

@@ -1,5 +1,23 @@
 # company-deploy-mcp 默认部署路径
 
+> **完整操作手册（联通 → 鉴权 → 部署 → 返回话术）见上级 `SKILL.md`。**  
+> 本文是工具参数与 JSON 细节；若与 SKILL 冲突，以 **SKILL.md** 为准。
+
+## Agent 禁止话术（高频翻车）
+
+| 禁止 | 正确 |
+|------|------|
+| 让用户打开 Dokploy 面板 / 要面板地址 | 业务路径 **永不** 需要 Dokploy UI |
+| 要 Dokploy 账号、某应用「环境变量编辑权限」 | 库用 `databases[]`；自定义密钥见 SKILL §3.4，不导向 Dokploy |
+| 「权限配置无法通过」却未调用 `whoami` | 先 `whoami`；401 才引导 **连接中心** 重拿 `buxi_` |
+| 索要 `DOKPLOY_API_KEY` / Gitea Token / 用户 SSH | 只用 MCP + `ensure_repository.pushUrl` |
+| 编造 Dokploy URL | 不要猜 |
+
+**连接中心** = 飞书身份 + 发 `buxi_` Key。  
+**不是** Dokploy 管理面板；也 **不能** 用来替代 MCP 部署。
+
+---
+
 **连接中心（飞书登录 + 拿 Key）：**  
 `https://company-deploy-mcp.loncode.site/`
 
@@ -25,6 +43,14 @@ Agent 配置示例（用户从连接中心复制，**不要**写进业务仓库
 - 身份：飞书 `open_id` 绑定到 Key；管理员另见 `ADMIN_OPEN_IDS` / 平台 `MCP_AUTH_TOKEN`  
 - **禁止**在 MCP 可用时向业务用户索要 Dokploy / Gitea Token
 
+### 联通最小三步
+
+```text
+1. whoami              → 必须成功
+2. get_my_quota        → 未满再部署
+3. list_projects       → 重部署时沿用 environment
+```
+
 ---
 
 ## 工具一览
@@ -289,18 +315,22 @@ apply 返回后：
 
 | 场景 | 说法 |
 |------|------|
-| 成功 | 已发布当前版本；访问：`https://…` |
+| 成功 | 已发布当前版本；访问：`https://…`（apply 的 url） |
 | 有数据库 | 已配置托管数据库连接（不打印密码） |
 | 配额满 | 运行中项目已达上限，请先停用不用的服务 |
-| 未登录 | 打开连接中心飞书登录，把配置贴到 Agent |
+| 未登录 / 401 | 打开连接中心飞书登录，把 `buxi_` 配到 Agent（**不要**提 Dokploy） |
 | 构建中 | 正在构建，稍后自动检查 |
 | 证书中 | 链接已分配，HTTPS 证书签发中，稍后再开 |
+| 用户要 Dokploy 权限 | 业务部署不需要；用连接中心 + 本 MCP 即可 |
+
+完整模板见 **SKILL.md §5**。
 
 ---
 
 ## 安全
 
-1. 永不 commit / 回显：`buxi_`、平台 Token、DB 密码全文  
+1. 永不 commit / 回显：`buxi_`、平台 Token、DB 密码全文、`pushUrl`  
 2. 日志只用 `get_sanitized_logs`  
 3. `.env` / 密钥进 `.gitignore`  
 4. 生产破坏操作受控制面策略约束；不要教用户绕过  
+5. 不要把「去 Dokploy 改配置」当作排障步骤