feat: add client subscription startup policy

docs/env.md

@@ -57,6 +57,8 @@
 | `MIGRATION_REQUEST_TTL_SECONDS` | 否 | `900` | T-627 存量迁移网页确认请求有效秒数，默认 15 分钟；过期后客户端必须重新申请，凭证明文不在服务端恢复 |
 | `CMSHOPEE_SUBSCRIPTION_MODE` | 否 | `open` | T-632 账号订阅运行模式：`open` 开发测试开放、`shadow` 放行但记录真实权益、`enforce` 按真实权益强制拦截。非法值阻止 Django 启动 |
 | `CMSHOPEE_SUBSCRIPTION_ENFORCEMENT` | 否 | `false` | T-630 旧兼容开关；仅当 `CMSHOPEE_SUBSCRIPTION_MODE` 未设置时生效，`true` 映射为 `enforce`，否则映射为 `open`。新部署不要再用它控制模式 |
+| `CMSHOPEE_CLIENT_SUBSCRIPTION_POLICY` | 否 | `off` | T-635 新版客户端启动策略：`off` 不检测不门禁、`observe` 检测但不门禁、`enforce` 检测并门禁；只控制客户端体验，不改变服务端专属接口授权。非法值阻止 Django 启动 |
+| `CMSHOPEE_CLIENT_SUBSCRIPTION_POLICY_UPDATED_AT` | `observe` / `enforce` 时是 | `2026-07-28T10:00:00+08:00` | T-635 客户端策略最后变更时间，必须是带时区 ISO 8601。每次改策略同步更新；默认 `off` 未设置时使用仓库基线时间，其他模式缺失或非法值阻止 Django 启动 |
 | `AI_IMAGE_UPSTREAM_DEADLINE_SECONDS` | 否 | `180` | T-612 生图上游读取硬截止秒数；只作用于 `generate_image` 的上游请求和上游返回图片 URL 下载，Provider 实际读取超时取 `min(AiModel.timeout_seconds 或分辨率默认值, 本值)`；生产按真实图片 smoke 耗时校准，外层 Gunicorn / Nginx / 客户端超时必须大于该值 |
 | `PUBLIC_BASE_URL` | 否 | `https://cm.833729.com` | 站点公开基础 URL；异步 worker 没有 request 时可用它生成绝对媒体 URL |
 | `MEDIA_PUBLIC_BASE_URL` | 否 | `https://cm.833729.com` | 媒体文件公开基础 URL；优先于 `PUBLIC_BASE_URL`，用于 T-614 异步生图 worker 返回 `result.image_url` |
@@ -109,6 +111,8 @@ T-614 起新增异步生图任务接口：提交任务仍同步审核 prompt 和
 
 T-604 只做 prompt 本地敏感词快筛。命中时返回 `content_blocked`，不扣点、不写调用记录、不调上游；并且必须在下载 `image_url` 前执行 prompt 审核。详细规则见 [`moderation.md`](moderation.md)。
 
+T-635 的 `CMSHOPEE_CLIENT_SUBSCRIPTION_POLICY` 与 `CMSHOPEE_SUBSCRIPTION_MODE` 是两套独立开关：前者只通过公开版本检查接口通知**新版客户端**是否检查 / 展示会员门禁，后者才决定产品专属提交接口是否在服务端拦截。变更客户端策略后重启 `cmhub-web` 和 `cmhub-generate`；推荐先 `off -> observe -> enforce` 灰度，且在每一步更新 `CMSHOPEE_CLIENT_SUBSCRIPTION_POLICY_UPDATED_AT`。不支持使用两个独立布尔环境变量，避免发布矛盾的 `false/true` 配置。
+
 生产多 Gunicorn worker 下，敏感词 matcher 刷新依赖共享 cache 的版本号；若仍使用 `LocMemCache`，只能刷新当前进程，不能保证所有 worker 及时更新。
 
 ## 七、静态文件与限流缓存