docs: pin server role separation

docs/DEPLOYMENT.md

@@ -35,8 +35,9 @@
 - 宿主端口：Postgres `5433`、Redis `6380`、API `8001`、Web `3002`
 - 只允许通过 tag/release 触发生产应用部署
 - API/Worker 必须来自专用构建机或 CI 产出的 runtime image tar：`/var/lib/xiaoxia-saas-production/runtime-images-<tag>.tar`
-- 生产机只能 `docker load` runtime image tar、构建轻量 Web nginx artifact、执行迁移和重启容器
-- 禁止在生产机上构建 API/Worker 镜像；当前生产机资源为 2 核/约 1.7GiB 内存，且承载 Gitea/Web/API/DB/Redis/Worker，不是构建机
+- Web 必须来自专用构建机或 CI 产出的 prebuilt dist/release artifact，不允许在业务服务器执行前端构建
+- 生产机只能接收产物、解压 release artifact、`docker load` runtime image tar、执行迁移、重启容器和健康检查
+- 禁止在生产机上构建 API/Worker/Web 镜像；当前生产机资源有限且承载业务服务，不是构建机
 - 必须替换所有密钥和 `CHANGE_ME` 项
 
 ---