feat(ops): 添加生产监控告警基线

- 新增 Prometheus/Grafana/Loki/Promtail 监控 profile\n- 覆盖 DB、磁盘、慢 API、慢 Prisma、任务失败和小宝摘要 stale 告警\n- 补充 postgres-exporter 自定义查询、Dashboard、部署文档和校验\n\nCo-Authored-By: GPT-5 Codex <codex@openai.com>

docs/deployment.md

@@ -194,6 +194,30 @@ pnpm deploy:smoke -- --base-url http://localhost --expected-version <expected-co
 
 生产 Compose 默认只监听 HTTP 80。HTTPS 建议优先交给云负载均衡、CDN 或宿主机外层证书管理工具；如果要让本 Compose 内的 Nginx 直接处理 HTTPS，可以在后续增加证书 volume 和 443 server block。
 
+## 监控与告警基线
+
+V2.8 提供可选 `monitoring` profile，不影响默认生产启动。启用前先在 `.env.production` 设置 `GRAFANA_ADMIN_PASSWORD`，不要使用示例密码对外暴露 Grafana。
+
+```bash
+docker compose --env-file .env.production -f docker-compose.prod.yml --profile monitoring up -d
+```
+
+默认入口：
+
+- Prometheus: `http://localhost:9090`
+- Grafana: `http://localhost:3002`
+
+配置目录在 `deploy/monitoring/`。基线覆盖：
+
+- `FtbPostgresDown`：PostgreSQL 不可用。
+- `FtbDiskPressure`：宿主机根分区低于 15% 可用空间。
+- `FtbSlowApiLogBurst`：服务端慢 API 日志在 10 分钟内超过阈值。
+- `FtbSlowPrismaLogBurst`：慢 Prisma 查询日志在 10 分钟内超过阈值。
+- `FtbJobFailureLogBurst`：AppData 同步、AI 调用或后台任务失败日志出现。
+- `FtbXiaobaoSummaryStale`：`xiaobao_risk_summaries` 存在 dirty 或超过 6 小时未更新的摘要。
+
+Prometheus 只加载本地规则，不提交真实通知密钥。接入 Slack、企业微信、邮件等通知时，把 Alertmanager receiver 放在未跟踪的服务器文件或环境变量中。
+
 ## 数据持久化
 
 生产 Compose 使用三个命名 volume：