diff --git a/README.md b/README.md
index 79a50bd..9fd4c21 100644
--- a/README.md
+++ b/README.md
@@ -13,6 +13,7 @@
 - 后台 Web：`https://api.txyundm.cn/admin/`
 - 正式 MQTT Broker：`101.42.38.246:1883`
 - 生产系统：Ubuntu Server 24.04 x86-64/amd64，无桌面、无 Docker、无微信云开发
+- 后端运行时：Node.js 20+、npm 10+
 - 部署入口：Ubuntu 执行 `sudo bash /opt/apps/setup.sh`
 - 开发流程：Windows 本地开发与测试 → 完成一个模块 → 更新文档 → commit → SSH push `origin/main`
 
@@ -112,8 +113,8 @@ WSL 已验证：EMQX `5.8.9`、MQTTX CLI `1.13.0`、EMQX 服务 `active (running
 
 项目已开发部分模块；具体完成度不得从 README 猜测，必须以现有代码、测试、数据库迁移、Git 历史以及 `docs/current-baseline.md`、`docs/module-status.md`、`docs/feature-status.md` 为准。
 
-- 最近工程提交：`98b66d2 feat(M01-A): 建立后端API基础骨架`。
-- 下一工程目标：以 `docs/current-baseline.md` 的 `next_engineering_target` 为准，当前为 M01-A 后端 API 基础工程最小可运行骨架。
+- 最近工程提交：`6114124 feat(M01-A): 锁定后端依赖并验证HTTP健康检查`。
+- 下一工程目标：以 `docs/current-baseline.md` 的 `next_engineering_target` 为准，当前为 M01-B 数据库迁移、连接池与旧表兼容层。
 - 开发纪律：普通“继续开发”必须产生工程文件变化、测试、commit 和 push；只改 Markdown 不计入模块进度。
 
 ## 版本递进
diff --git a/docs/api-changelog/2026-06-16-M01-A-backend-baseline.md b/docs/api-changelog/2026-06-16-M01-A-backend-baseline.md
index 5c7983b..6f2f934 100644
--- a/docs/api-changelog/2026-06-16-M01-A-backend-baseline.md
+++ b/docs/api-changelog/2026-06-16-M01-A-backend-baseline.md
@@ -25,5 +25,8 @@
 
 ```bash
 npm --prefix backend test
+npm --prefix backend run build
 powershell -ExecutionPolicy Bypass -File scripts/dev/windows/check-backend.ps1
 ```
+
+`check-backend.ps1` 会启动编译后的 Fastify 进程，并分别请求 `/app-api/health` 与 `/admin-api/health` 校验 `ok`、`service` 和 `traceId`。
diff --git a/docs/current-baseline.md b/docs/current-baseline.md
index e67988e..fd1728d 100644
--- a/docs/current-baseline.md
+++ b/docs/current-baseline.md
@@ -1,8 +1,8 @@
 # 当前开发成果基线
 
 > V5.0 首次核验日期：2026-06-16  
-> audited_commit: `98b66d2`
-> next_engineering_target: M01-A 依赖安装、TypeScript 编译和真实 HTTP 健康检查
+> audited_commit: `6114124`
+> next_engineering_target: M01-B 数据库迁移、连接池与旧表兼容层
 > 事实源：当前工作区、Git 历史、状态文档、Windows/WSL 检查脚本。
 
 ## 总体结论
@@ -11,7 +11,7 @@
 |---|---|---|---|
 | 总纲版本 | V5.2 已成为当前权威总纲，V5.1/V5.0/V4.8 已保留为历史备份 | 根目录存在 `V5.2.md`、`V5.1.md`、`V5.0.md` 和 `V4.8.md` | 可继续按 V5.2 开发 |
 | Git 远端 | `origin=ssh://git@git.txyundm.cn:2222/panda/qipai.git`，分支 `main` | `git rev-list main...origin/main` 为 `0 0` | 本地与远端同步 |
-| 正式后端 | 已新增 Fastify + TypeScript 最小骨架、健康/就绪/版本路由、配置模板和契约测试 | `backend/package.json`、`backend/src/**`、`backend/tests/backend-contract.test.mjs` | M01-A PARTIAL；依赖安装、编译、真实 HTTP 运行和数据库迁移未完成 |
+| 正式后端 | 已新增 Fastify 5 + TypeScript 最小骨架、健康/就绪/版本路由、配置模板、依赖锁文件、契约测试、TypeScript 编译和真实 HTTP 健康检查 | `backend/package.json`、`backend/package-lock.json`、`backend/src/**`、`backend/tests/backend-contract.test.mjs`、`scripts/dev/windows/check-backend.ps1` | M01-A PARTIAL；数据库迁移、连接池、鉴权、业务接口和生产域名验收未完成 |
 | 后台管理端 | 仅有 `admin/.gitkeep` | 当前文件扫描 | M09 未开始，不能标记 DONE |
 | 微信小程序 | 仅有 `miniapp/.gitkeep` | 当前文件扫描 | M08 未开始，不能标记 DONE |
 | 数据库迁移 | 仅有 `database/migrations/.gitkeep` 和 `database/seeds/.gitkeep` | 当前文件扫描 | 业务 schema 未生成 |
@@ -35,7 +35,7 @@
 
 ## 下一步
 
-1. 在本地被 Git 忽略的 `scripts/dev/wsl/mqtt-smoke.env` 中配置最小权限 MQTT 账号。
-2. 执行 `scripts/dev/wsl/mqtt-smoke.sh`，补齐认证、错误密码拒绝、ACL 越权、TLS 发布和遗嘱消息结果。
-3. 接入后端/设备消费者后，用重复 `idempotencyKey` 消息补齐幂等处理证据。
-4. 在 M01 开始前继续保持 M00 生产部署与本地调试基线可复验。
+1. 进入 M01-B：生成数据库迁移、连接池和旧表兼容读取层。
+2. 为迁移脚本增加可重复执行检查、回滚说明和最小种子数据。
+3. 把后端运行时固定为 Node 20+，生产部署脚本需在 M10 前校验 Node 版本。
+4. 保持 `scripts/dev/windows/check-backend.ps1` 的契约测试、编译和 HTTP 健康检查作为 M01 后续提交门禁。
diff --git a/docs/deployment-status.md b/docs/deployment-status.md
index 7f05d45..f7a0c93 100644
--- a/docs/deployment-status.md
+++ b/docs/deployment-status.md
@@ -14,8 +14,8 @@
 | Gitea 仓库 SSH | ssh://git@git.txyundm.cn:2222/panda/qipai.git |
 | 生产拉取仓库 | ssh://git@127.0.0.1:2222/panda/qipai.git |
 | 默认分支 | main |
-| 最近模块 push commit | `98b66d2`（M01-A 后端 API 基础骨架） |
-| 最近 push 远端校验 | 本地验证通过；本轮结束执行远端一致性校验 |
+| 最近模块 push commit | `6114124`（M01-A 后端依赖锁定与 HTTP 健康检查） |
+| 最近 push 远端校验 | 工程提交已生成；远端一致性在本轮最终推送后复核 |
 | 目标系统 | Ubuntu 24.04 |
 | 内核架构 | x86_64 |
 | DPKG 架构 | amd64 |
@@ -27,11 +27,11 @@
 | WSL 环境验证 | 已完成轻量检查、shell 语法检查、临时副本准备和清理；本地 MQTT 服务级核验通过；V5.0 点名的 WSL EMQX 检查/启动/停止入口已补齐；完整构建待正式项目生成 |
 | 最近环境快检 | 2026-06-16 WSL 本地 MQTT 服务级核验通过；EMQX 5.8.9 active/enabled，MQTTX CLI 1.13.0，五端口监听；认证/ACL/TLS/协议仍未验收 |
 | 最近部署后复检 | 未执行 |
-| 最近验证 commit | `98b66d2`；后端 API 基础骨架已本地验证，本轮结束执行远端一致性校验 |
+| 最近验证 commit | `6114124`；后端 API 依赖锁定、TypeScript 编译、生产依赖审计和本地真实 HTTP 健康检查已通过 |
 | 最近验证日期 | 2026-06-16 |
 | 已验证系统 | Ubuntu 24.04 / 未验证 |
 | 菜单 1 首次安装 | 脚本已实现目录布局；未在生产 Ubuntu 执行 |
-| 菜单 2 更新业务 | 脚本已实现仓库检查、生产 release manifest 写入和本地 dry-run manifest 输出；可识别后端项目存在但尚未构建；未在生产 Ubuntu 执行 |
+| 菜单 2 更新业务 | 脚本已实现仓库检查、生产 release manifest 写入和本地 dry-run manifest 输出；后端项目已可本地构建并通过 HTTP 健康检查；未在生产 Ubuntu 执行 |
 | 菜单 3 MQTT | EMQX 命令、systemd、1883/18083 端口、ACL 模板和授权模板检查已实现；EMQX 安装未执行 |
 | 菜单 4 域名与 HTTPS | 域名、Nginx 模板、站点启用、TLS、健康端点、Certbot、证书文件、续期配置和 `certbot.timer` 检查已实现；当前线上证书为 `git.txyundm.cn`，证书申请/续期未执行 |
 | 菜单 5 状态 | 已实现 |
diff --git a/docs/devlogs/2026-06-16-M01-A-后端基础工程.md b/docs/devlogs/2026-06-16-M01-A-后端基础工程.md
index 7b8feb0..7d419a0 100644
--- a/docs/devlogs/2026-06-16-M01-A-后端基础工程.md
+++ b/docs/devlogs/2026-06-16-M01-A-后端基础工程.md
@@ -12,6 +12,9 @@
 - 新增 `scripts/dev/windows/check-backend.ps1` 并接入 `test-all.ps1`。
 - 新增 `deploy/pm2/ecosystem.config.cjs`。
 - 更新 release manifest dry-run，使其识别后端项目已存在但尚未构建。
+- 锁定 `backend/package-lock.json`，将后端升级到 Fastify 5 依赖线并移除当前未使用的 Kysely 生产依赖。
+- 将后端运行时要求声明为 Node `>=20.0.0`、npm `>=10.0.0`。
+- 扩展 `scripts/dev/windows/check-backend.ps1`，自动执行契约测试、TypeScript 编译并启动真实 HTTP 进程验证 `/app-api/health` 与 `/admin-api/health`。
 
 ## 3. 修改文件
 
@@ -43,32 +46,34 @@
 
 ## 7. 部署变化
 
-新增 PM2 模板；生产仍未执行。后端依赖尚未安装，真实 build/start 待后续依赖安装后验证。
+新增 PM2 模板；生产仍未执行。后端依赖已安装并锁定，本地 build/start/HTTP 健康检查已通过；生产环境需提供 Node 20+。
 
 ## 8. 测试结果
 
 - `npm --prefix backend test`：通过。
-- `powershell -ExecutionPolicy Bypass -File scripts/dev/windows/check-backend.ps1`：通过。
+- `npm --prefix backend run build`：通过。
+- `npm audit --omit=dev`（在 `backend/` 执行）：通过，生产依赖审计 0 漏洞。
+- `powershell -ExecutionPolicy Bypass -File scripts/dev/windows/check-backend.ps1`：通过，已覆盖真实 HTTP 健康检查。
 - `powershell -ExecutionPolicy Bypass -File scripts/dev/windows/check-release-manifest.ps1`：通过。
 - `wsl -e bash -lc 'cd /mnt/d/qipai && bash scripts/setup/deploy-business.sh --dry-run . ...'`：通过。
 
 ## 9. 欠缺 / 风险
 
-- 尚未安装 npm 依赖，未运行真实 Fastify 进程、TypeScript 编译或 HTTP 请求级测试。
-- MySQL/Kysely 仅完成依赖和配置占位，未建立迁移和连接池。
+- 生产 Ubuntu 的 Node 20+、PM2 启动和 Nginx 反代尚未验收。
+- MySQL 仅完成依赖和配置占位；Kysely 暂未作为生产依赖引入，数据库迁移和连接池将在 M01-B 建立。
 - 审计日志、限流策略和统一错误码仍为基础实现，未覆盖业务级鉴权。
 
 ## 10. 下一步
 
-安装依赖后执行 `npm --prefix backend run build` 和真实 HTTP 健康检查；随后进入 M01-B 数据库迁移与兼容层。
+进入 M01-B 数据库迁移、连接池与旧表兼容层；继续保留 `check-backend.ps1` 作为每轮后端提交门禁。
 
 ## 11. Git 与 Gitea 推送信息
 
 - 远端：ssh://git@git.txyundm.cn:2222/panda/qipai.git
 - 分支：main
-- commit：`98b66d2`
+- commit：`6114124`
 - push 命令：git push origin main
-- push 结果：待执行
-- push 时间：待执行
-- HEAD 与 origin/main 是否一致：待校验
+- push 结果：本轮最终推送后复核
+- push 时间：2026-06-16
+- HEAD 与 origin/main 是否一致：本轮最终推送后复核
 - 失败原因与重试命令：无
diff --git a/docs/feature-status.md b/docs/feature-status.md
index 6c471ba..5e797e0 100644
--- a/docs/feature-status.md
+++ b/docs/feature-status.md
@@ -8,7 +8,7 @@
 | REF-001 | 参考资料完整纳管 | M00-A | PARTIAL | `7bb4338` | 已生成哈希清单、脱敏日志、页面地图、接口线索和旧数据库结构清单；含秘密/依赖/真实数据风险的原始包和 SQL 已移出 Git 跟踪；仓库完整性门禁已覆盖意外 untracked、嵌套 Git 和 forbidden tracked 文件。 | 后续仍需按模块生成正式源码/迁移，旧 xjar 需大文件策略。 | 进入 M00-B/M00-C 前继续保持原包忽略和摘要可追溯。 |
 | SCM-001 | 模块完成即完整推送 | M00-B/M00-C | PARTIAL | `ef0edda` | 首次 main push 成功，`HEAD == origin/main` 校验通过；推送脚本已生成；仓库完整性脚本已升级为提交前门禁并接入 `test-all.ps1`；`push-module.ps1` 已改为先暂存显式路径再运行门禁；状态文档枚举和临时占位检查已接入。 | 后续模块仍需逐次执行并记录。 | 继续在每轮提交前执行完整性、敏感信息、大文件、状态文档和远端一致性检查。 |
 | WSL-001 | WSL 隔离辅助验证 | M00-C | PARTIAL | `a690e85` | WSL 基础脚本已执行通过；本地 MQTT 服务级核验通过；认证/ACL 冒烟脚本入口、配置自检、可选 TLS/遗嘱/重复消息探测入口已生成；V5.0 点名的 WSL EMQX 检查/启动/停止入口已补齐。 | 正式后端/后台尚未生成，无法执行完整 Linux 构建；MQTT 本地账号未配置，认证/ACL/TLS/遗嘱/幂等未验收；生产 EMQX 不由 WSL 脚本管理。 | M01/M09 生成项目后在 WSL 原生临时副本执行完整构建；配置本地 MQTT 最小权限账号后执行冒烟和可选探测。 |
-| API-001 | 固定 HTTPS API 域名 | M00-E/M01/M08/M10 | PARTIAL | `98b66d2` | 已新增 Windows 检查脚本、Ubuntu 菜单检查和固定域名 Nginx 模板；M01-A 已新增 `/app-api/health` 与 `/admin-api/health` 源码和契约检查。 | DNS/HTTPS 生产验证未执行，后端依赖未安装，真实 HTTP 进程未运行。 | 安装依赖后执行后端 build/start 和本地 HTTP 健康检查，再接入生产域名验证。 |
+| API-001 | 固定 HTTPS API 域名 | M00-E/M01/M08/M10 | PARTIAL | `6114124` | 已新增 Windows 检查脚本、Ubuntu 菜单检查和固定域名 Nginx 模板；M01-A 已通过 `/app-api/health` 与 `/admin-api/health` 源码契约、TypeScript 编译和本地真实 HTTP 请求检查；生产依赖审计为 0 漏洞。 | DNS/HTTPS 生产验证未执行，生产 Node 20+ 环境未验收，业务接口和鉴权未接入。 | 进入 M01-B 数据库迁移与连接池；后续在 M10 接入生产域名、证书和 Nginx 真实验收。 |
 | TLS-001 | Nginx 与证书自动化 | M00-E/M10 | PARTIAL | `4cb3ab6` | 已生成 Nginx 模板、Certbot 命令说明和菜单第 4 项检查，可检查模板、站点启用、TLS、健康端点、证书文件、续期配置和 `certbot.timer`。 | 证书申请/续期 dry-run、80/443 生产验证未执行。 | 在生产 Ubuntu 执行证书签发、续期 dry-run 和 Nginx 安装记录。 |
 | WXNET-001 | 微信合法域名与真机验证 | M00-E/M08/M10 | TODO | - | 已补 API 域名报告入口，但未做微信后台或真机验证。 | 微信后台/真机未验证。 | 后续导入小程序后执行合法域名和真机验证。 |
 | OPS-001 | 固定 `/opt/apps` 目录 | M00-D/M10 | PARTIAL | `292ab7f` | `scripts/setup/init-layout.sh` 已生成目录布局、uploads 目录和 manifest；WSL 检查脚本通过，未在生产 Ubuntu 执行。 | 生产操作未执行。 | 由管理员在 Ubuntu 菜单执行并记录结果。 |
diff --git a/docs/module-status.md b/docs/module-status.md
index be7cc60..dc2f714 100644
--- a/docs/module-status.md
+++ b/docs/module-status.md
@@ -3,7 +3,7 @@
 | 模块 | 状态 | 最近提交 | 最近开发日志 | 备注 |
 |---|---|---|---|---|
 | M00 单仓库与服务器基础骨架 | PARTIAL | `ef0edda` | docs/devlogs/2026-06-16-M00-V5-基线核验.md | V5.2 已接入；已有成果基线、仓库完整性门禁、状态文档门禁、显式路径模块推送脚本、release manifest dry-run 检查、WSL 本地 MQTT 服务级核验、认证/ACL 冒烟入口、配置自检、可选 TLS/遗嘱/重复消息探测入口和 WSL EMQX 检查/启动/停止入口已补；生产部署、账号配置、真实验收仍未完成。 |
-| M01 后端 API 基础工程 | PARTIAL | `98b66d2` | docs/devlogs/2026-06-16-M01-A-后端基础工程.md | M01-A 最小 Fastify + TypeScript 后端骨架已新增；真实依赖安装、编译、HTTP 运行、数据库迁移仍未完成。 |
+| M01 后端 API 基础工程 | PARTIAL | `6114124` | docs/devlogs/2026-06-16-M01-A-后端基础工程.md | M01-A Fastify 5 + TypeScript 后端骨架、依赖锁定、生产依赖审计、TypeScript 编译和真实 HTTP 健康检查已通过；数据库迁移、连接池、鉴权、业务接口和生产域名验收仍未完成。 |
 | M02 登录、租户、权限 | TODO | - | - | - |
 | M03 门店、房间、价格、营业时间 | TODO | - | - | - |
 | M04 订单、时段锁定、支付闭环 | TODO | - | - | - |
diff --git a/docs/release-manifest.md b/docs/release-manifest.md
index 97259fa..61560d5 100644
--- a/docs/release-manifest.md
+++ b/docs/release-manifest.md
@@ -6,7 +6,7 @@
 | 发布分支 | main |
 | 当前总纲 | `V5.2.md` |
 | 上一版备份 | `V4.8.md` |
-| 后端构建 | 项目已存在；依赖未安装，构建未执行 |
+| 后端构建 | 依赖已锁定；本地 TypeScript 编译、真实 HTTP 健康检查和生产依赖审计已通过；生产构建未执行 |
 | 后台构建 | 未执行 |
 | 小程序检查 | 未执行 |
 | 数据库迁移 | 未执行 |
diff --git a/scripts/dev/windows/check-backend.ps1 b/scripts/dev/windows/check-backend.ps1
index 87daa41..15649c0 100644
--- a/scripts/dev/windows/check-backend.ps1
+++ b/scripts/dev/windows/check-backend.ps1
@@ -2,6 +2,7 @@ $ErrorActionPreference = "Stop"
 
 $requiredFiles = @(
   "backend/package.json",
+  "backend/package-lock.json",
   "backend/tsconfig.json",
   "backend/.env.example",
   "backend/src/app.ts",
diff --git a/scripts/dev/windows/check-repo-completeness.ps1 b/scripts/dev/windows/check-repo-completeness.ps1
index 1ce47b8..c382247 100644
--- a/scripts/dev/windows/check-repo-completeness.ps1
+++ b/scripts/dev/windows/check-repo-completeness.ps1
@@ -21,6 +21,7 @@ $requiredPaths = @(
   "docs/reference-redaction-log.md",
   "docs/repository-completeness.md",
   "scripts/dev/windows/check-workspace.ps1",
+  "backend/package-lock.json",
   "scripts/dev/windows/check-backend.ps1",
   "scripts/dev/windows/check-reference.ps1",
   "scripts/dev/windows/check-repo-completeness.ps1",