feat: add https websocket ingress baseline

docs/reports/phase-10-ingress.md

@@ -0,0 +1,40 @@
+# HTTPS/WSS 入口基线验证
+
+验证日期：2026-09-22  
+验证范围：Orbit 主机端口边界、Nginx HTTPS 配置语法、WebSocket Upgrade 路由、健康探针和控制台登录限速配置。  
+验证环境：Docker Desktop、Nginx 1.27 Alpine、当前 Compose 配置。
+
+## 已通过
+
+### Orbit 端口边界
+
+使用临时数据库变量展开 Compose 配置，确认默认映射为：
+
+```text
+host_ip: 127.0.0.1
+published: "8080"
+target: 8080
+```
+
+Orbit 的明文业务端口默认只对本机开放，公网入口由反向代理承担。需要直接暴露端口的隔离环境必须显式设置 `ORBIT_HTTP_BIND`，不能把开发配置直接当作生产入口。
+
+### Nginx 配置语法
+
+`deploy/nginx/orbit.conf.example` 使用一次性自签名证书挂载到 Nginx 1.27 Alpine 容器中执行：
+
+```sh
+nginx -t
+```
+
+结果：
+
+```text
+nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
+nginx: configuration file /etc/nginx/nginx.conf test is successful
+```
+
+配置包含 HTTP 到 HTTPS 跳转、TLS 1.2/1.3、`/v1/worker/connect` 和 `/v1/events/connect` 的 Upgrade/Connection 头、独立长连接超时、`/health/live`、`/health/ready` 代理以及 Console 登录来源限速。metrics 不经过业务入口。
+
+## 尚未由本报告关闭的事项
+
+本报告只验证配置和端口边界，没有使用真实域名、正式证书、外部负载均衡或公网流量。生产仍需验证证书签发/轮换、DNS、WSS 长连接重连、代理节点故障、真实健康摘除和入口访问日志脱敏；这些不能由一次 `nginx -t` 推导出来。