docs(claude): 加部署职责边界(业务session只push,推VPS是运维+人决策)

明确:开发/数据/策略 session 改完代码 git push 即完成(NAS 自动验证),不要自己推 VPS;VPS prod 必须 nas-verify 绿后由人触发 vps-deploy(运维 agent + 人协作)。让所有 session 按当前分层方案执行。

.claude/CLAUDE.md

@@ -138,6 +138,8 @@ NAS 上用于本项目部署的目录有两个（容器挂载源）：
 
 ### 部署流程（NAS 自动 / VPS 主动触发，所有开发 session 必读）
 
+> **职责边界（所有 session 必须遵守）**：开发/数据/策略 session 改完代码 `git push` 即完成（NAS 自动验证，到此为止）；**VPS prod 部署绝不自动**，必须 nas-verify 绿后由人确认触发 `vps-deploy.yml`。**业务 session 不要自己推 VPS**（push 只到 NAS）；推 VPS 是运维 agent + 人协作的决策。
+
 **NAS test 自动部署+验证**：改完代码 `git push origin master` → Gitea Actions 自动跑 ci-cd.yml：
 ```
 test(pytest 数据层) → nas-deploy(推 NAS 后端+前端 dist+restart 容器) → nas-verify(login+strategy/list+dbbardata 秒级 gate)