docs: add development-machine handoff and server deploy configs

换开发机继续开发。新机器只需要拉仓库 + 自备工具链 + 单独拷贝两个机密文件，
服务器/聚石塔/SAE 全部沿用，不需要重建。

- docs/HANDOFF-2026-11-02.md：开发机交接（环境、仓库地图、三套测试、
  本地怎么跑、云端资源清单、上线方式、11 条关键结论、9 项待办、故障对照表）
- deploy/：服务器侧配置入库（原先只存在于机器上）
  - systemd/juzi-taobao.service（18081，独立数据目录与凭据文件）
  - nginx/tb-location.conf（/tb/ 反代 + 只放行聚石塔 NAT EIP）
  - add-tb-nginx.sh（幂等插入，先备份，nginx -t 通过才 reload）
  - README.md（重建与回滚步骤）
- tools/env-java.ps1：优先用仓库内便携工具链，缺失时回退 JAVA_HOME/PATH，
  换机器不用再下便携 JDK/Maven
- README.md：交接文档入口更新

deploy/nginx/tb-location.conf

@@ -0,0 +1,25 @@
+# 插入到 /etc/nginx/sites-available/juzi 的 HTTPS server { } 块内。
+# 作用：给淘宝小程序云网关一个专用入口 /tb/，反代到 juzi-taobao.service(127.0.0.1:18081)。
+#
+# 为什么要 allow 白名单：/tb/ 暴露在公网，后面是真实旷视计费调用。
+# 只允许聚石塔 NAT 的出口 EIP（以及本机自测）访问，其余一律 403。
+#
+# 注意：nginx 会剥掉 /tb/ 前缀，所以 /tb/api/taobao/session → Node 收到 /api/taobao/session，
+# 与 h5/server.js 的路由完全一致。
+location = /tb {
+    return 301 /tb/;
+}
+location /tb/ {
+    # 聚石塔 NAT 网关绑定的 EIP。换环境时改这一行。
+    allow 47.92.113.176;
+    # 本机自测（curl -H 'Host: 1me.xajuzi.com' https://127.0.0.1/tb/api/health）
+    allow 127.0.0.1;
+    deny all;
+
+    proxy_pass http://127.0.0.1:18081/;
+    proxy_set_header Host $host;
+    proxy_set_header X-Real-IP $remote_addr;
+    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+    proxy_set_header X-Forwarded-Proto $scheme;
+    proxy_read_timeout 150s;
+}