本目录实现 T-009 的 PostgreSQL 17.10 初始 schema。SQL 按文件名前缀顺序执行：先创建 NOLOGIN 权限角色，再创建 Bell、Sense 对象，最后收窄跨 schema 权限。应用登录角色及其密码由部署环境或密钥系统创建，并分别加入 bell_app、sense_app；仓库不保存登录凭据。

生产/共享实例必须由管理员先备份并在 YoVision 专用数据库中执行。Sense 进程不会用高权限自动建库或建角色。示例只使用私有环境变量，不把实际 DSN 写入脚本或日志：

$env:YOVISION_PG_ADMIN_DSN = '由管理员私下设置'
Get-ChildItem deploy/postgres/[0-9][0-9][0-9]_*.sql |
  Sort-Object Name |
  ForEach-Object { & 'D:\pgsql17\bin\psql.exe' -X -v ON_ERROR_STOP=1 -d $env:YOVISION_PG_ADMIN_DSN -f $_.FullName }

不要把该示例替换成真实连接串后提交。自动验收使用 scripts/test_postgres.ps1 启动隔离临时集群，不读取或修改 D:\pgsql17\data。

权限边界

bell_app 拥有 bell.sites、版本 trigger 和 bell.site_quota_v1。
sense_app 拥有 sense schema，只获得 bell schema 的 USAGE 和配额视图的 SELECT。
sense_app 对 bell.sites、Bell migration 表和 trigger function 没有权限。
PUBLIC 对两个业务 schema 的表和函数没有权限。

恢复

T-009 不迁移或删除现有 SQLite 数据，默认运行配置也仍为 SQLite。若 PostgreSQL 切换验证失败，停止 PostgreSQL 模式的 Sense 进程并恢复 SENSE_DB_DRIVER=sqlite 与原 SQLite DSN。初始 schema 不提供自动 down migration；需要移除时由管理员先备份，再只删除明确确认的 YoVision 专用数据库，禁止对共享实例做模糊或递归清理。