私有化部署产品线

状态：初步设计。部署目标是让用户可以运行自己的消息实例，同时清楚了解不同模式的外部依赖。Go 服务、PostgreSQL、Redis 与队列通过 Docker 交付；S3 兼容对象存储采用可替换配置，仅在需要密文对象或受控备份的功能中启用。首版必须提供可复现的 Docker Compose 部署与备份恢复演练；Helm 属后续候选。

模式	实例控制	推送路径	用户应知边界
官方实例	官方运营	官方网关与 APNs	官方持有服务器元数据，消息仍应端到端加密。
普通私有实例	部署者运营	官方网关与 APNs	部署者控制实例，但推送路由仍经过官方网关；不称完全主权。
完全主权	部署者运营	自有 App/Bundle ID、网关及 APNs 凭据	需独立开发者账号、签名与推送运维能力；非首版一键承诺。

首版不建设 Web 管理后台。初始化、配置、升级、备份、密钥轮换和恢复通过受控 CLI/配置与运维文档完成；生产秘密不得写入镜像或 Git。用户端添加实例时必须验证 HTTPS、实例身份/指纹和 Profile 隔离，指纹变化不得静默连接。详见部署模式。