feat(gitea): 激活 1.27.3 升级

CHANGELOG.md

@@ -33,6 +33,7 @@ What changed in this homelab, when, and why. Newest first.
 | Gitea 1.26 activation | 停机一致备份门槛完成后，激活变更只移除 HelmRelease 的 `suspend`；chart `12.6.0`、显式 `1.26.4-rootless` image、values、数据库与 PVC 均保持已 review 的准备状态 |
 | Gitea 1.26 result | Flux 以 Helm revision 16 成功完成 chart `12.6.0` / Gitea `1.26.4-rootless` 的 Recreate upgrade 和 migration 323–330；Pod 内/统一域名 API、临时 branch push/delete、Flux source 及 main/smoke 的全部 CI jobs 均通过，Pod 在约 15 分钟采样中保持零重启，Authelia OIDC init 同步与浏览器交互式管理员登录也已确认成功 |
 | Gitea 1.27 preparation | 预拉取 `1.27.3-rootless` 并将第二跳 desired state 原子设置为 chart `12.7.0`、显式 image `1.27.3` 和 `suspend: true`；合并只暂停并登记目标，不执行 migration，激活前必须从当前 1.26.4 数据建立新的配套回滚点 |
+| Gitea 1.27 activation | 按明确决定跳过新的 1.26.4 数据库/PVC 备份，激活变更只移除 HelmRelease 的 `suspend`；接受 migration 失败后不能无损回退到 1.26.4 的风险，现有 1.25.5 本地备份仅能作为会丢失第一跳后状态的灾难恢复点 |
 
 ### Incident: Gitea 备份后的恢复命令被 stdin 校验阻塞
 

apps/gitea/README.md

@@ -26,6 +26,6 @@ Gitea 是 Flux GitRepository 的上游。升级或重启期间 Git source 暂时
 
 第一跳 chart `12.6.0` / Gitea `1.26.4` 已完成，migration、API、Git push 和 CI 均
 通过。第二跳 desired state 已准备为 chart `12.7.0` / Gitea `1.27.3`，HelmRelease
-保持 `suspend: true`；必须先建立新的 1.26.4 停机一致回滚点，再用独立 PR 激活。
-第一阶段按明确决定只保留节点本地备份，没有上传 OCI 或建立异机副本，因此其恢复
-冗余低于长期目标。
+的激活变更只移除 `suspend`。第二跳按明确决定跳过新的 1.26.4 停机一致回滚点；若
+1.27 migration 后失败，现有 1.25.5 本地备份只能恢复到更早状态，不能无损回退到
+1.26.4。第一阶段备份也没有上传 OCI 或建立异机副本，因此恢复冗余低于长期目标。

apps/gitea/helmrelease.yaml

@@ -20,7 +20,6 @@ spec:
       retryInterval: 5m
   interval: 30m
   releaseName: gitea
-  suspend: true
   targetNamespace: gitea
   timeout: 15m
   upgrade:

docs/gitea-upgrade-plan.md

@@ -143,6 +143,10 @@ Terraform CI 均通过。Pod 在约 15 分钟观察期内保持 Running、零重
 - 合并准备状态后必须从已经迁移的 1.26.4 数据重新建立一组数据库/PVC 回滚点，禁止
   复用 1.25.5 备份作为 1.27 阶段的直接回滚点。
 
+执行时操作者明确选择跳过上述 1.26.4 备份门槛并继续激活。该风险例外意味着 1.27
+migration 后若失败，不能无损回到 1.26.4；现有本地 1.25.5 备份只可用于接受丢失
+第一跳之后状态的灾难恢复。目标 1.27.3 镜像已预拉取，其余准备检查均已通过。
+
 ## 后续但不并入升级
 
 - 将 `gitea-oidc-secret` 等剩余手工 Secret 迁入 OpenBao/ESO；