用途：运行并验证 ClawHub 生产部署，以及稳定的 ClawHub CLI npm 发布。ClawHub 生产变更仅限手动操作，合并到 main 不会部署应用或发布 CLI。
主要能力与流程：
应用生产部署（.github/workflows/deploy.yml）：确认提交位于 origin/main 并记录 SHA；找到该 SHA 对应的成功 Test 部署记录：gh run list --repo openclaw/clawhub --workflow deploy-test.yml --branch main --commit <MAIN_SHA> --status success --limit 1；若不存在则先修复或重跑 Test。随后分发单一目标：gh workflow run deploy.yml --repo openclaw/clawhub --ref main -f target=full -f allow_deleting_large_indexes=false。target 可选 full、backend、frontend。full 部署 Convex、等待对应 Vercel 生产部署并运行生产冒烟检查；backend 部署 Convex 并运行生产 HTTP 冒烟检查；frontend 等待 Vercel 生产部署后运行 HTTP 与 UI 冒烟检查，工作流不调用 vercel deploy。仅审查并明确接受后才可设 allow_deleting_large_indexes=true。之后捕获工作流 URL、等待完成、核对 SHA，并在 https://clawhub.ai 验证受影响的路由、API 或后端契约。
稳定版 CLI npm 发布（.github/workflows/clawhub-cli-npm-release.yml，标签须为 vX.Y.Z）：确认标签指向 main 上的目标提交；先运行仅校验的 preflight：gh workflow run clawhub-cli-npm-release.yml --repo openclaw/clawhub --ref main -f tag=vX.Y.Z -f preflight_only=true；成功后用该 artifact 正式发布：gh workflow run clawhub-cli-npm-release.yml --repo openclaw/clawhub --ref main -f tag=vX.Y.Z -f preflight_only=false -f preflight_run_id=<RUN_ID>；等待 npm-release 环境任务并核验 npm 上已发布版本。
限制与要求：安全规则要求从 main 运行生产工作流，分发前立即重读工作流与 main SHA；该 SHA 必须先有成功的 Deploy Test，这是操作员检查，生产工作流暂未强制该门槛。绿色工作流本身不构成证明，需记录工作流 URL、部署 SHA 和线上验证。不要向部署工作流添加一次性迁移或修复，数据变更需用 clawhub-convex 与 create-and-cleanup-migration 单独执行。除非用户明确要求发布，否则绝不启动生产部署或 npm publish。工作流使用 GitHub Production 环境，后端部署需要环境密钥 CONVEX_DEPLOY_KEY，可选的 PLAYWRIGHT_AUTH_STORAGE_STATE_JSON 启用带认证的 UI 冒烟覆盖。正式发布通过 npm-release GitHub 环境的 npm 可信发布完成，可信发布者须匹配仓库 openclaw/clawhub、工作流 clawhub-cli-npm-release.yml 与环境 npm-release。