feat: bind schema verification to release manifest

docs/api/operations.md

@@ -50,7 +50,14 @@ ORBIT_MYSQL_DSN='user:password@tcp(127.0.0.1:3306)/orbit' \
 {"schema_version":28,"migration_count":28,"foreign_key_count":0,"required_index_count":6,"complete":true}
 ```
 
-`complete=true` 表示当前二进制的迁移账本、Orbit 表零外键，以及 000026–000028 的六个有界观测索引均满足要求。命令不会证明备份可恢复、复制已确认、业务副作用已核对或生产 RPO/RTO 达标；这些仍需隔离环境恢复演练和真实拓扑验收。失败时会先输出不含 DSN/密钥的检查结果，再以非零状态退出。
+`complete=true` 表示当前二进制的迁移账本、Orbit 表零外键，以及 000026–000028 的六个有界观测索引均满足要求。需要同时核对发布物身份时，传入保存的清单：
+
+```sh
+ORBIT_MYSQL_DSN='user:password@tcp(127.0.0.1:3306)/orbit' \
+  go run ./cmd/orbit-admin verify --manifest orbit-release-manifest.json
+```
+
+`--manifest` 会在连接数据库前比较清单与当前管理二进制的构建身份、协议版本和迁移校验和；不一致立即失败。命令不会证明备份可恢复、复制已确认、业务副作用已核对或生产 RPO/RTO 达标；这些仍需隔离环境恢复演练和真实拓扑验收。失败时会先输出不含 DSN/密钥的检查结果，再以非零状态退出。
 
 发布流程应先停止不兼容的旧写入节点，在隔离环境和目标维护窗口应用 `orbit-migrate up`，随后执行 `orbit-admin verify`；只有输出完整且人工核对备份、权限、连接路由后才启动新版本。verify 不是运行时协调器，多个节点可并发读取，但不能替代一次性迁移锁。