feat: add release identity manifest

docs/21-container-deployment.md

@@ -29,6 +29,15 @@ docker build --platform linux/amd64 \
 
 镜像同时写入 OCI `org.opencontainers.image.version`、`org.opencontainers.image.revision` 和 `org.opencontainers.image.created` 标签；可以先核对标签，再在节点启动后通过 `GET /version` 核对进程实际使用的值。`registry.example` 只是占位符，不是平台依赖。
 
+构建完成后先保存发布物身份清单：
+
+```sh
+docker run --rm --entrypoint /usr/local/bin/orbit-admin \
+  registry.example/orbit:1.0.0 release manifest > orbit-release-manifest.json
+```
+
+清单把当前构建身份、协议版本和内置迁移校验和固定下来；部署前再用 `orbit-admin verify` 对目标数据库逐项核对。两者不一致时停止发布，不通过人工修改清单来“对齐”。
+
 ## 2. 迁移、核验和启动
 
 迁移与服务使用同一镜像但分开执行；迁移账户和运行账户由数据库权限策略隔离。以下命令只展示容器契约，凭据必须来自秘密管理：