fix: 单仓后统一版本号与访问地址说明

- 编排与文档里的 app 镜像 tag 由 v1.0.2 统一为 v1.0.4（单仓一个发布版本，
  v1.0.4 包含 app 线，不再保留源仓的历史 tag 差异）
- deploy/README.md、docs/deploy/install.md 明确业务端口默认只绑 127.0.0.1，
  并给出对外访问的两种做法（with-nginx profile / 改绑定）
- mirror-to-gitee 增加推送后校验：远端 main 与本地不一致则判失败

deploy/README.md

@@ -18,7 +18,7 @@ docker compose up -d
 docker compose logs -f mysql
 ```
 
-启动完成后访问 `http://<宿主机IP>:8009`：
+启动完成后在本机访问 `http://127.0.0.1:8009`（编排默认把业务端口绑定在 127.0.0.1，需要局域网/公网访问见下方「重要提示」）：
 
 | 项 | 值 |
 | --- | --- |
@@ -49,12 +49,12 @@ docker compose --profile with-nginx up -d    # 自带反向代理
 crpi-.../iotlcm/iotlcm:mysql-8.0
 crpi-.../iotlcm/iotlcm:redis-7.2
 crpi-.../iotlcm/iotlcm:iotlcm-admin-svr-v1.0.4
-crpi-.../iotlcm/iotlcm:iotlcm-app-server-v1.0.2
+crpi-.../iotlcm/iotlcm:iotlcm-app-server-v1.0.4
 ```
 
 tag 格式统一为 **`<服务名>-<版本>`**。
 
-当前业务版本：大部分服务为 `v1.0.4`，`iotlcm-app-server` / `iotlcm-app-web` 为 `v1.0.2`（源仓最新 tag 就是 v1.0.2）。
+当前业务版本：全部服务为 `v1.0.4`（单仓统一版本号 —— 平台 v1.0.4 发布包含全部服务）。
 
 升级时在 `docker-compose.yml` 中同步更新 tag 的版本部分，不要改用 `latest`。
 
@@ -122,7 +122,9 @@ TDengine 版本为 `3.3.6.13`（公开镜像可得），生产用的是 `3.4.0.9
 - **`JWT_SIGNING_KEY` 必须在 `admin-svr`、`openapi`、`app-server` 三者间完全一致**，否则令牌跨服务不通
 - **镜像标签不要用 `latest`**，生产环境请固定到具体版本
 - **改 `schema/` 下的脚本不会自动生效**，需要清空 `data/mysql` 重新初始化（会丢失全部数据）
-- 默认只监听 `127.0.0.1` 的服务需通过反向代理对外
+- 业务端口默认只绑定 `127.0.0.1`（admin-ui/admin-svr/openapi/app-web/docs/sms），要从其他机器访问，二选一：
+  - 用 `--profile with-nginx` 起自带反向代理（对外 80，按域名/路径分流，配置见 `config/nginx/iotlcm.conf`）
+  - 或把 `docker-compose.yml` 里对应服务的 `127.0.0.1:xxxx` 改成 `0.0.0.0:xxxx`（需自备防火墙策略）
 
 ## 许可