验证(08-08-production-authenticated-readiness): 完成员工权限负向验收

.trellis/tasks/08-08-production-authenticated-readiness/prd.md

@@ -77,12 +77,12 @@
 - [x] AC1：生产运行/公网 SHA 对应已部署产品候选 `0224ad8`（短标识 `0224ad83d7f8`）；65 条 migration 仍全部 applied、pending=none，未触发部署或 schema 写入。
 - [x] AC2：任何登录前已对管理员、员工完成同一 `BEGIN READ ONLY` 查询合同；查询设计覆盖 `matchedBy`、active/archived/locked、失败计数和期望角色是否就绪。两个 identifier 实际均 `matchedBy=none`，故账号属性记为 `N/A` 而非生产事实，不含账号或凭据明文。
 - [x] AC3：两个仓库外 identifier 均不匹配 email/phone/employee_no。只读角色候选与远端内存密码 hash 比对进一步证明：唯一活跃管理员可解析为 email、未锁定、失败计数为 0，但原管理员密码不匹配；员工有 5 个活跃非管理员候选，原员工验收密码对这些候选的匹配数为 0。后续只读资格诊断将员工目标收敛为唯一 1 个：其登录 identifier 已就绪、未锁定、失败计数为 0、无需首次改密、可进入只读合同工作区且不具备合同管理权限；运行容器内既有 smoke 命名判据将其分类为专用 OA-only smoke 账号，未依赖私有 allowlist。本次没有注入或比较密码。登录尝试保持 0，未输出 identifier/hash/角色明细。
-- [ ] AC4 — PARTIAL：管理员凭据已由独立 `08-09-production-admin-break-glass-reset` 合法恢复，本轮唯一一次登录 HTTP 200，失败计数为 0 且未锁定；员工凭据已由独立 `08-10-production-employee-smoke-break-glass-reset` 合法恢复，交接时目标唯一、`rolesExact=true`、四项管理权限全 false，但本任务员工登录尚未执行、attempts=0。浏览器未重试管理员登录。
+- [x] AC4：管理员凭据已由独立 `08-09-production-admin-break-glass-reset` 合法恢复，本轮唯一一次登录 HTTP 200，失败计数为 0 且未锁定；员工凭据已由独立 `08-10-production-employee-smoke-break-glass-reset` 合法恢复，交接时目标唯一、`rolesExact=true`、四项管理权限全 false，本轮唯一一次登录同为 HTTP 200。两个角色均零 retry，未试探原始失效凭据。
 - [ ] AC5 — PAUSED：管理员认证通过，但生产合同总数为 0，无法进入详情或终止面板；终止端点 `POST` 计数为 0、全部合同 mutation 计数为 0，确认层未打开，未制造合同。
-- [ ] AC6 — READY：员工负向目标已通过只读资格诊断唯一确定，并确认是专用 OA-only smoke 账号而非真人员工；最终凭据已由 08-10 break-glass 合法恢复，角色精确与四项权限前提未变。本任务仍需执行一次生产登录态负向；archived/terminated 样本数均为 0，无法执行对应 UI 检查，且不得扩大权限、修改断言或制造数据。
-- [x] AC7：初始、登录前停止后、扩展账号诊断后、邮件能力诊断后、管理员验收 PRE/POST、员工资格诊断 PRE/POST 及 smoke 分类后的最终 POST 共九次窗口证据均为 `terminatedRows=0`、`rollbackWindow=OPEN`、`basis=terminated_status_count`；窗口未变化，本任务真实合同终止写入计数为 0。
+- [x] AC6：员工负向目标已通过只读资格诊断唯一确定，并确认是专用 OA-only smoke 账号而非真人员工；最终凭据来自 08-10 break-glass，角色精确与四项权限前提未变。生产登录后合同列表可读、管理入口“新增合同”不可见，直达新增路由进入 403；合同读取请求 2、合同 mutation 与全部非认证 mutation 均为 0。archived/terminated 样本仍为 0，相应可选 UI 检查保持 `PAUSED`，未扩大权限、修改断言或制造数据。
+- [x] AC7：初始、登录前停止后、扩展账号诊断后、邮件能力诊断后、管理员验收 PRE/POST、员工资格诊断 PRE/POST、smoke 分类最终 POST 以及员工负向 PRE/POST 共十一次有效窗口证据均为 `terminatedRows=0`、`rollbackWindow=OPEN`、`basis=terminated_status_count`；窗口未变化，本任务真实合同终止写入计数为 0。
 - [x] AC8：邮件能力与 break-glass 建议审查、浏览器验收收口审查的 findings 均已按证据边界修订，最终只读复查为 `PASS`；task validate、process contract、governance、sensitive scan、docs registry audit 与 diff check 已复跑，docs audit 仅保留既有 22 个未注册文件 warning。
-- [x] AC9：结论明确为产品已部署、生产基线健康，但登录态验收仍 `PAUSED`；当前不得告知用户可以测试。
+- [x] AC9：结论明确为产品已部署、生产基线健康，管理员认证与员工登录态权限负向均通过；合同 UI 因生产零记录仍 `PAUSED`，当前不得告知用户可以测试合同终止功能。
 
 ## Out of Scope