docs: clarify RPC/Cloudflare tunnels are local-only

docs/runbook.md

@@ -77,10 +77,12 @@ node scripts/eval-offline.js
 # 真实模型离线评测（fake LibreDesk，不写真实会话；会调 LLM/RPC）
 node scripts/eval-live.js
 
-# 公网 HTTPS（WhatsApp webhook 需要）：Cloudflare Quick Tunnel + 路径白名单网关
+# 公网 HTTPS（仅本地联调需要）：Cloudflare Quick Tunnel + 路径白名单网关
+# 测试/生产：不要跑这个脚本，使用正式域名 + Ingress/Nginx + TLS
 bash scripts/public-https.sh
 
-# 测试服 RPC 端口外网被封：建 SSH 隧道并让 bridge 指向隧道（网关 IP）
+# 仅本地开发：测试服 RPC 端口外网被封时建 SSH 隧道
+# 测试/生产：不要跑这个脚本，直接把 RPC URL 配成内网可达地址
 bash scripts/rpc-tunnel.sh --apply
 
 # 配置 163 SMTP（自动重启 LibreDesk）
@@ -168,6 +170,6 @@ ss -ltnp | grep -E ':(9000|3100|4100|5440|6390)\s'
 | 管理员后台实时更新不工作 | 通过 http + IP 访问时 agent websocket 拒绝非 HTTPS 来源 | POC 可忽略；生产用 HTTPS 或经 localhost 访问 |
 | collect_info 槽位丢失 | Redis 不可用，退回了进程内存 | 检查 `REDIS_URL=redis://redis:6379/3` 和 `docker logs crmnew-bridge` 的 lead store 告警 |
 | 多站点商品推荐串站 | `bridge/config/sites.json` 的 inbox 映射没配 | 把对应 inbox 数字 ID 指到 us/eu/www profile，重建 bridge |
-| WhatsApp webhook 收不到 | 没有公网 HTTPS / Meta 回调地址不对 | 跑 `bash scripts/public-https.sh`，把输出的 `.../webhooks/whatsapp/<inbox_id>` 配到 Meta；quick tunnel URL 每次重启会变 |
+| WhatsApp webhook 收不到 | 没有公网 HTTPS / Meta 回调地址不对 | 本地联调跑 `bash scripts/public-https.sh`；测试/生产使用正式域名，不要用 Quick Tunnel |
 | 公网访问到管理后台 | 网关白名单配置 | `services/public-gateway` 只放行 `/webhooks/whatsapp/*`、`/hc/*`、`/widget*`、`/static/public/*`，其余 404 |
-| AI 回复"系统暂时无法查询订单" | 测试服 24503/24505/24506/24509 外网 TCP 被封，bridge 8s 超时 | 跑 `bash scripts/rpc-tunnel.sh --apply`，bridge RPC 指向 docker 网关（隧道只绑网关，不暴露 LAN） |
+| AI 回复"系统暂时无法查询订单" | RPC 不可达，bridge 8s 超时 | 本地开发跑 `bash scripts/rpc-tunnel.sh --apply`；测试/生产检查内网 RPC 地址/网络策略，不要用开发机隧道 |