WROAD2B/WAPPR1 固化业务冒烟和审批规则门禁

2026-05-20 17:48:31 +08:00
@@ -465,20 +465,22 @@ Go 结论边界：
 | WEXT1 外出/加班 | 公网 dry-run 通过，live 未批准 | `npm run check:wecom-approval-fixtures` 支持 `--target=outing --target=overtime`；公网报告 `/app/artifacts/qa-flow/wecom-approval-fixtures-20260520T054940Z/summary.json` 为 `PASS_FIXTURE_DRY_RUN_READY`；本轮只构建最小通用模板和审批申请 payload，不创建企微模板、不提交审批单 |
 | 隐私边界 | 保持 | 报告和告警只输出状态、计数、报告路径、脱敏 userid/template/sp_no 前缀；不输出手机号、邮箱、token、Secret、完整外部键、位置、人脸、设备明文、表单值、附件、评论或原始 payload |

-上述能力仍不代表完整审批镜像、应急接管、恢复回写或 RuleOps 已完成。WROAD2-CLOSEOUT 三天验收后先问答是否进入 WEXT1-LIVE 外出/加班测试号 live POC；请假、补卡、外出、加班四类测试号证据通过后，才单独问答是否启动 WREAL1 小范围真实试用。
+上述能力仍不代表完整审批镜像、应急接管、恢复回写或 RuleOps 已完成。WROAD2-CLOSEOUT 三天验收期间同步执行 WROAD2-BIZ1 三天业务冒烟和 WAPPR1 审批规则规范化门禁；通过后再问答是否进入 WEXT1-LIVE 外出/加班测试号 live POC。请假、补卡、外出、加班四类测试号证据和审批规则门禁均通过后，才单独问答是否启动 WREAL1 小范围真实试用。

 ## WOPS1 / WROAD2-CLOSEOUT / WREAL1-PREP 后续规划

-执行时间：2026-05-20。基于 WARCH3/WCHECK1/WEXT1 后的受控上线结果和用户后续选择，当前不扩大真实员工、不立即创建外出/加班 live 样件，先完成三天稳态验收；验收后再另建 WEXT1-LIVE 合同创建外出+加班测试号样件，四类测试号证据通过后才问是否进入真实小范围试用。
+执行时间：2026-05-20。基于 WARCH3/WCHECK1/WEXT1 后的受控上线结果和用户后续选择，当前不扩大真实员工、不立即创建外出/加班 live 样件，先完成三天稳态验收，并在三天内并行执行 WROAD2-BIZ1 人工业务冒烟与 WAPPR1 审批规则规范化；通过后再另建 WEXT1-LIVE 合同创建外出+加班测试号样件，四类测试号证据和审批规则门禁通过后才问是否进入真实小范围试用。

 | 项 | 当前结果 | 证据和边界 |
 | --- | --- | --- |
 | WOPS1 巡检告警降噪 | 公网已验证 | 告警默认收件员工号修正为 `HYD000006`，即管理员 `wangshunli` 的员工号；不再把 `wangshunli` 字符串当作 employee_no。`send-wecom-ops-alert` 增加状态文件，首次 `PASS_WITH_FINDINGS` 记录为基线；远端二次触发 WARCH3 报告 `/app/artifacts/qa-flow/warch3-ops-20260520-070731/summary.json` 为 `PASS_WITH_FINDINGS`，告警报告 `/app/artifacts/qa-flow/wecom-ops-alert-20260520T070740Z/summary.json` 为 `PASS_ALERT_SKIPPED_NO_FINDINGS`，原因 `no_new_findings_or_status_worsening`。后续只有阻断、脚本失败、新增 finding、状态恶化或人工 `--force` 才发送脱敏消息。 |
 | WROAD2-CLOSEOUT 三天验收 | 待 Day 1/2/3 自动采集 | Day 0 报告 `/app/artifacts/qa-flow/wroad2-ops-20260520-041941/summary.json` 为 `PASS_WITH_FINDINGS`。已知 observation 为 live smoke 凭据、pending OCR 子检查和历史 callback gap，不阻断受控试用；企微 runtime、审批补偿归档、OA 离线读取、打卡摘要 offline 可读和隐私扫描仍是主链路。三天内正常或已知 finding 不打扰，仅新增异常、状态恶化、阻断或脚本失败时通知。 |
-| WREAL1-PREP 真实试用准备 | 仅规划，不启用真实员工 | 固化候选员工 active/已绑定/可见、审批人非本人、回滚联系人、允许流程、暂停条件和验收标准。当前继续测试账号；真实试用必须等请假、补卡、外出、加班四类测试号证据通过后再问答确认，默认仍从 1 名真实员工 + 1 名审批人/管理员观察开始。 |
+| WROAD2-BIZ1 三天业务冒烟 | 已建档，待人工执行 | 三天内补充真实业务动作：`SMOKE002` 每天按企微规则尝试上/下班打卡，提交低风险请假和补卡；`SMOKE101` 每条审批必须先打开详情再审批；`HYD000006` 每天查看 OA 企微审批归档历史和打卡摘要。人工业务冒烟不替代 WARCH3 自动巡检；无法打卡、无法审批或仍需手选审批人时，真实记录为 finding。 |
+| WAPPR1 审批规则规范化 | 已建档，作为真实试用前门禁 | 用户发现补卡申请需要申请人手动选择审批人，该现象作为 blocking finding 治理。测试模板固定 `SMOKE002 -> SMOKE101`；正式请假、补卡、外出、加班模板必须按直属主管、部门负责人或指定审批角色自动带出审批人；申请人不得任意选择审批人，审批人缺失、停用、未绑定、不可见或自审时阻断。 |
+| WREAL1-PREP 真实试用准备 | 仅规划，不启用真实员工 | 固化候选员工 active/已绑定/可见、审批人非本人、回滚联系人、允许流程、暂停条件和验收标准。当前继续测试账号；真实试用必须等请假、补卡、外出、加班四类测试号证据和 WAPPR1 审批规则门禁通过后再问答确认，默认仍从 1 名真实员工 + 1 名审批人/管理员观察开始。 |
 | 外出/加班 | live POC 待三天验收后另建合同 | WEXT1 dry-run 证据保留；当前不创建企微外出/加班模板或审批单。已锁定 WEXT1-LIVE 方向：外出+加班两类一起创建 OA-POC 测试模板和低风险审批单，固定 `SMOKE002 -> SMOKE101`、`WECOM_AGENT_SECRET` 和双开关，样件保留审计，由 `SMOKE101` 真机确认。 |

-三天验收结束后的人工问答选项固定为：进入 WEXT1-LIVE、先处理指定 finding、或暂停。外出/加班 live 写入前必须再次说明当前状态、改了什么、测了什么、结果是什么和会留下什么企微记录；四类测试号证据通过后，再问是否进入真实小范围试用。
+三天验收结束后的人工问答选项固定为：进入 WEXT1-LIVE、先处理指定 finding、或暂停。外出/加班 live 写入前必须再次说明当前状态、改了什么、测了什么、结果是什么和会留下什么企微记录；四类测试号证据和 WAPPR1 审批规则门禁通过后，再问是否进入真实小范围试用。

 ## 历史恢复

@@ -63,7 +63,7 @@
 - WHMSLIVE 公网验证中，`SMOKE002/测试员工`（脱敏 `oa_smoke***`）因企微侧缺手机号、邮箱和部门按 `missing_required_field` 跳过，证明缺字段不会写入占位数据；普通员工访问同步 API 已验证为 403。
 - 已有 OA 员工只更新安全主数据字段，不覆盖银行账户、身份证、工资、合同附件或历史审批。
 - WAPI 后 WHMS/WOUA 读取策略修正为通讯录 `user/list_id` + 可选成员详情 + 人事助手 `get_staff_info`，通讯录用 `WECOM_CONTACT_SECRET`，人事助手用 `WECOM_AGENT_SECRET`，不再靠 fallback 试错。
- WHMS/WOUA-FIX 不代表考勤/审批镜像、OA 应急接管、恢复回写或 RuleOps 已完成；WRA1 后 WRV1 的 `PASS_WITH_CONFIG_GAPS` 只代表运行优先主链路可用且曾有审批/回调配置缺口；WMSG1 只证明消息和 Deeplink 可用；WAPC1 只证明审批配置准备清单已固化；WAPC2 只证明只读 runner 已具备；WAPC2FLIVE 只证明 OA-POC 样件可创建并可读；WCBK1 已证明真实回调 URL 验证、验签/解密和一条现有 OA-POC 测试审批单事件脱敏留证；WACP3R 已证明补偿拉取和审批详情读取可用但曾发现回调证据文件未持久化；WEGOV1 只修正路线和治理；WADM1/WARCH1 已补齐最小自建留存设计和实现。后续仍不能直接扩大到完整 `wecom_attendance_approval_mirror_v1`，需另建正式查询、外出/加班、打卡细项和权限验收合同。
+- WHMS/WOUA-FIX 不代表考勤/审批镜像、OA 应急接管、恢复回写或 RuleOps 已完成；WRA1 后 WRV1 的 `PASS_WITH_CONFIG_GAPS` 只代表运行优先主链路可用且曾有审批/回调配置缺口；WMSG1 只证明消息和 Deeplink 可用；WAPC1 只证明审批配置准备清单已固化；WAPC2 只证明只读 runner 已具备；WAPC2FLIVE 只证明 OA-POC 样件可创建并可读；WCBK1 已证明真实回调 URL 验证、验签/解密和一条现有 OA-POC 测试审批单事件脱敏留证；WACP3R 已证明补偿拉取和审批详情读取可用但曾发现回调证据文件未持久化；WEGOV1 只修正路线和治理；WADM1/WARCH1 已补齐最小自建留存设计和实现。WROAD2-BIZ1 只补充测试账号业务冒烟，WAPPR1 只固定审批人自动带出和禁止申请人任意选审批人的真实试用前门禁。后续仍不能直接扩大到完整 `wecom_attendance_approval_mirror_v1`，需另建正式查询、外出/加班、打卡细项、审批规则和权限验收合同。

 ---

@@ -2,8 +2,8 @@

 **文档状态**：当前企微 API 调研与本项目使用事实源。
 **分类**：集成事实源 / API 能力目录。
-**适用时间**：WAPI / WAPC1 / WAPC2 / WPROC1 / WPROC2 / WAPC2F / WAPC2FLIVE / WCBK1 / WEGOV1 / WACP3 / WACP3R / WREAD1 / WADM1 / WARCH1 / WARCH2 / WROAD2 / WARCH3 / WCHECK1 / WEXT1 / WOPS1 / WROAD2-CLOSEOUT / WREAL1-PREP 之后。
-**关联 Issue**：`WAPI,WAPC1,WAPC2,WPROC1,WPROC2,WAPC2F,WAPC2FLIVE,WCBK1,WEGOV1,WACP3,WACP3R,WREAD1,WADM1,WARCH1,WARCH2,WROAD2,WARCH3,WCHECK1,WEXT1,WOPS1,WROAD2C,WREAL1P`。
+**适用时间**：WAPI / WAPC1 / WAPC2 / WPROC1 / WPROC2 / WAPC2F / WAPC2FLIVE / WCBK1 / WEGOV1 / WACP3 / WACP3R / WREAD1 / WADM1 / WARCH1 / WARCH2 / WROAD2 / WARCH3 / WCHECK1 / WEXT1 / WOPS1 / WROAD2-CLOSEOUT / WROAD2-BIZ1 / WAPPR1 / WREAL1-PREP 之后。
+**关联 Issue**：`WAPI,WAPC1,WAPC2,WPROC1,WPROC2,WAPC2F,WAPC2FLIVE,WCBK1,WEGOV1,WACP3,WACP3R,WREAD1,WADM1,WARCH1,WARCH2,WROAD2,WARCH3,WCHECK1,WEXT1,WOPS1,WROAD2C,WROAD2B,WAPPR1,WREAL1P`。
 **最近核对**：2026-05-20。
 **不得误读**：本文只记录本项目会用到的企业微信官方 API 摘要、链接和项目决策，不复制官方文档全文，不保存 Secret、access token、完整 userid、手机号、邮箱或企微原始 payload。官方文档和企业微信后台权限配置始终是最终依据。

@@ -15,7 +15,7 @@
 - 生产写接口、真实员工批量同步、企微规则写入、应急模式开启和恢复回写都必须另建合同并获得明确批准。
 - WPROC1 后默认自动化优先：能用 runner 自动生成、自动检查、自动复跑的，不要求人工手动操作；人工只处理写入批准、Secret/Token/EncodingAESKey 配置、企微后台无法 API 化配置、真机确认和风险拍板。
 - WPROC2 后，企微高风险合同必须先通过 `node scripts/qa/check-process-contract.mjs --baseline` 和对应 profile 的 process gate；WAPC2F 使用 `wecom-approval-fixture` profile。
- 审批类 POC 默认禁止自审；WAPC2F 默认测试链为申请人 `SMOKE002`、审批人 `SMOKE101`，两者必须 active、已绑定企微、可见、不是同一 OA 员工且不是同一企微 userid。若 `SMOKE101` 不可用，不自动换人，返回配置缺口并问答确认。
+- 审批类 POC 默认禁止自审；WAPC2F/WAPPR1 默认测试链为申请人 `SMOKE002`、审批人 `SMOKE101`，两者必须 active、已绑定企微、可见、不是同一 OA 员工且不是同一企微 userid。若 `SMOKE101` 不可用，不自动换人，返回配置缺口并问答确认。正式模板不得让申请人任意选择审批人，必须按直属主管、部门负责人或指定审批角色自动带出审批人；规则缺口在真实试用前按 `NEEDS_CONFIG` 或 `SKIP/BLOCKED_BY_EXTERNAL_CONFIG` 处理。
 - WEGOV1 后不假设企业微信自建应用存在完整隔离 sandbox；企微开发默认使用真实企业内受控测试域、本地 synthetic 自动测试、公网 live runner 和少量真机确认。
 - OA 自建留存策略优先保存规范化业务数据、完整外部关联键和必要快照；报告和日志只输出脱敏前缀，不保存 Secret、token、EncodingAESKey、原始密文或无治理原始 payload。
 - WROAD2 后每日巡检只允许写 OA 自建留存库，不写企业微信；补偿归档写入必须同时具备进程级 `WECOM_ARCHIVE_WRITE=1` 和 runner 的 `--persist-to-db`，并固定使用 `WECOM_AGENT_SECRET`。
@@ -95,7 +95,7 @@ WAPC2 不代表真实回调、审批镜像、应急接管、恢复回写或 Rule

 WPROC1 将 WAPC2 之后的审批路线固定为：

-`WAPC2 -> WAPC2F 自动生成 POC 样件 -> WAPC2FLIVE live 创建与 WAPC2 自动复跑 -> WCBK1 回调只读 POC -> WEGOV1 企微主办治理与自建留存路线修正 -> WACP3/WACP3R 补偿拉取 POC -> WREAD1 审批可读性与误审批防护门禁 -> WADM1 自建留存/镜像数据模型设计 -> WARCH1 最小自建历史留存实现 -> WARCH2 正式只读历史查询 -> WROAD2+OPS 受控上线与每日巡检 -> WARCH3 归档稳定化自动巡检 -> WCHECK1 打卡摘要留存 -> WEXT1 外出/加班 dry-run -> WOPS1 巡检告警降噪 -> WROAD2-CLOSEOUT 三天验收 -> WEXT1-LIVE 外出/加班测试号 live POC -> 四类测试号证据通过后问答 WREAL1 小范围真实试用 -> wecom_attendance_approval_mirror_v1`
+`WAPC2 -> WAPC2F 自动生成 POC 样件 -> WAPC2FLIVE live 创建与 WAPC2 自动复跑 -> WCBK1 回调只读 POC -> WEGOV1 企微主办治理与自建留存路线修正 -> WACP3/WACP3R 补偿拉取 POC -> WREAD1 审批可读性与误审批防护门禁 -> WADM1 自建留存/镜像数据模型设计 -> WARCH1 最小自建历史留存实现 -> WARCH2 正式只读历史查询 -> WROAD2+OPS 受控上线与每日巡检 -> WARCH3 归档稳定化自动巡检 -> WCHECK1 打卡摘要留存 -> WEXT1 外出/加班 dry-run -> WOPS1 巡检告警降噪 -> WROAD2-CLOSEOUT 三天验收 -> WROAD2-BIZ1 三天业务冒烟 -> WAPPR1 审批规则规范化 -> WEXT1-LIVE 外出/加班测试号 live POC -> 四类测试号证据和审批规则门禁通过后问答 WREAL1 小范围真实试用 -> wecom_attendance_approval_mirror_v1`

 门禁要求：

@@ -116,6 +116,8 @@ WPROC1 将 WAPC2 之后的审批路线固定为：
 - `WARCH3` 新增 `scripts/qa/run-warch3-ops-daily.sh`、`deploy/trialrun/install-warch3-ops-timer.sh` 和 `npm run send:wecom-ops-alert`，把巡检升级为服务器 07:30 systemd timer，并在 finding/失败时给 `wangshunli/HYD000006` 发送脱敏企微告警；告警只含阶段、状态、finding 数、报告路径和下一步建议。
 - `WCHECK1` 新增 `npm run check:wecom-checkin-summary-archive`，用 `getcheckindata` 和 `getcheckinoption` 生成打卡摘要与规则快照；默认离线只读，写 OA 留存需 `WECOM_CHECKIN_ARCHIVE_WRITE=1`。
 - `WEXT1` 扩展 `npm run check:wecom-approval-fixtures` 支持 `--target=outing --target=overtime`，本轮只 dry-run，不 live 创建外出/加班模板或审批单。
+- `WROAD2-BIZ1` 补充测试账号人工业务冒烟：打卡、低风险请假/补卡、审批详情查看和 OA 离线历史查看；它不新增企微 API，不替代 WARCH3 自动巡检。
+- `WAPPR1` 不新增写接口；它是审批模板配置门禁，要求申请人不得任意选择审批人，正式模板必须自动带出审批人，规则未通过不得进入真实员工试用。

 ### 6.1 WADM1 数据留存与 API 结果边界

@@ -131,7 +133,7 @@ WADM1/WARCH1 将已验证的审批能力固定为“可读可留存”的实现
 ## 7. 运行优先结论

 - 近期优先利用：企业微信工作台入口、OAuth/免登、绑定、个人应用消息、OA deeplink、通讯录 userid 清单、可选成员详情、人事助手花名册读取、打卡记录和打卡规则读取，以及 WROAD2/WARCH3 测试账号受控上线巡检。
- 暂缓深度镜像：WREAD1、WADM1、WARCH1、WARCH2 已完成请假/补卡可读性、模型设计、最小历史留存和正式只读查询；WARCH3/WCHECK1/WEXT1/WOPS1 本轮只解决巡检稳定、打卡摘要留存、外出/加班 dry-run 和告警降噪；`wecom_attendance_approval_mirror_v1`、`oa_hr_emergency_mode_v1`、`wecom_recovery_writeback_v1`、`wecom_ruleops_v1` 仍需等 WROAD2-CLOSEOUT、WEXT1-LIVE 四类测试号证据和 WREAL1 小范围真实试用通过，或你明确批准后再拆。
+- 暂缓深度镜像：WREAD1、WADM1、WARCH1、WARCH2 已完成请假/补卡可读性、模型设计、最小历史留存和正式只读查询；WARCH3/WCHECK1/WEXT1/WOPS1/WROAD2-BIZ1/WAPPR1 本轮只解决巡检稳定、打卡摘要留存、外出/加班 dry-run、告警降噪、测试账号业务冒烟和审批规则门禁；`wecom_attendance_approval_mirror_v1`、`oa_hr_emergency_mode_v1`、`wecom_recovery_writeback_v1`、`wecom_ruleops_v1` 仍需等 WROAD2-CLOSEOUT、WROAD2-BIZ1、WAPPR1、WEXT1-LIVE、四类测试号证据和 WREAL1 小范围真实试用通过，或你明确批准后再拆。
 - OA 主办边界不变：报销、采购、费用、合同、项目、付款批次、AP、代账交接、审计和高敏附件继续在 OA 内完成，只向企业微信发送脱敏提醒和 OA 链接。

 ## 8. 后续使用要求
@@ -2,10 +2,10 @@

 **文档状态**：当前开发路线图事实源。  
 **分类**：开发治理 / 路线图。  
-**适用时间**：WDRG / WCP1 / WHMSLIVE / WOUA / WAPI / WRRA / WOUA-FIX / WRV1 / WRA1 / WMSG1 / WAPC1 / WAPC2 / WPROC1 / WPROC2 / WAPC2F / WAPC2FLIVE / WCBK1 / WEGOV1 / WACP3 / WACP3R / WREAD1 / WREAD1F / WADM1 / WARCH1 / WARCH2 / WROAD2 / WARCH3 / WCHECK1 / WEXT1 / WOPS1 / WROAD2-CLOSEOUT / WREAL1-PREP / WEXT1-LIVE 路线选择之后。
-**关联 Issue**：`WDRG,WCP1,WHMS,WHMSLIVE,WOUA,WAPI,WRRA,WOUAFIX,WRV1,WRA1,WMSG1,WAPC1,WAPC2,WPROC1,WPROC2,WAPC2F,WAPC2FLIVE,WCBK1,WEGOV1,WACP3,WACP3R,WREAD1,WREAD1F,WADM1,WARCH1,WARCH2,WROAD2,WARCH3,WCHECK1,WEXT1,WOPS1,WROAD2C,WREAL1P`。
+**适用时间**：WDRG / WCP1 / WHMSLIVE / WOUA / WAPI / WRRA / WOUA-FIX / WRV1 / WRA1 / WMSG1 / WAPC1 / WAPC2 / WPROC1 / WPROC2 / WAPC2F / WAPC2FLIVE / WCBK1 / WEGOV1 / WACP3 / WACP3R / WREAD1 / WREAD1F / WADM1 / WARCH1 / WARCH2 / WROAD2 / WARCH3 / WCHECK1 / WEXT1 / WOPS1 / WROAD2-CLOSEOUT / WROAD2-BIZ1 / WAPPR1 / WREAL1-PREP / WEXT1-LIVE 路线选择之后。
+**关联 Issue**：`WDRG,WCP1,WHMS,WHMSLIVE,WOUA,WAPI,WRRA,WOUAFIX,WRV1,WRA1,WMSG1,WAPC1,WAPC2,WPROC1,WPROC2,WAPC2F,WAPC2FLIVE,WCBK1,WEGOV1,WACP3,WACP3R,WREAD1,WREAD1F,WADM1,WARCH1,WARCH2,WROAD2,WARCH3,WCHECK1,WEXT1,WOPS1,WROAD2C,WROAD2B,WAPPR1,WREAL1P`。
 **最近审计**：2026-05-20。
-**不得误读**：本文只控制后续开发节奏、阶段顺序和门禁。WHMSLIVE 后只代表企微 HR 主数据镜像已部署并受控验证；WAPI 后进一步固定企微 API/Secret 口径并转为运行优先；WRRA 后明确 `PASS_WITH_FINDINGS` 只代表只读对账成功且存在差异，不代表企微考勤/审批镜像、OA 应急接管、恢复回写或 RuleOps 已完成运行时实现。WMSG1 只证明企业微信应用消息可达和 Deeplink 可回到 OA；WAPC1 只固化审批配置准备清单；WAPC2 只新增请假/补卡模板详情和低风险 `sp_no` 审批详情只读 POC，不代表真实回调或镜像能力已完成。WPROC1 后，WAPC2 不直接放行深度镜像，必须先完成自动样件、回调、补偿拉取和镜像数据模型设计门禁。WPROC2 只新增可执行 process gate。WAPC2FLIVE 已创建 OA-POC 请假/补卡测试模板和低风险测试审批单，并自动复跑 WAPC2 得到 `PASS_APPROVAL_POC`。WCBK1 已完成真实回调 URL 验证和一条现有 OA-POC 测试审批单事件确认，公网报告为 `PASS_CALLBACK_EVENT_CONFIRMED`；WEGOV1 后路线明确为“企微成熟功能优先上线，OA 做自建留存、审计、入口、消息和应急兜底”。WACP3R 已将补偿拉取复跑修正为自动按 `SMOKE002` creator 发现 OA-POC 请假/补卡模板，公网报告 `/app/artifacts/qa-flow/wecom-approval-compensation-poc-20260519T115944Z/summary.json` 为 `PASS_WITH_FINDINGS`。WREAD1F 新样例后，审批人真机确认请假和补卡消息卡片、列表、详情页均可看清；远端人工结果报告 `/app/artifacts/qa-flow/wecom-approval-readability-gate-20260519T133628Z/summary.json` 为 `PASS_READABLE`。但同意按钮单击即通过仍是操作风险，需在 WARCH1/WARCH2 的留存、审计、提示或操作规程中继续处理。WADM1 只完成自建留存/镜像数据模型设计；WARCH1 只实现请假/补卡最小审批历史留存、回调事件入库、补偿拉取入库和 QA-only 离线读取证明；WARCH2 只提供 OA DB 只读查询 API 和 PC/移动历史页，不调用企微 API、不读取企微 Secret、不代表完整镜像、外出/加班、应急接管、恢复回写或 RuleOps 已完成。WROAD2 后当前策略是测试账号受控上线和每日脚本化巡检，允许补偿归档写 OA 自建留存库，但不写企业微信、不扩大真实员工范围；WARCH3 将每日巡检升级为服务器 `systemd timer` 与脱敏企微告警，WCHECK1 增加打卡规范化明细、日/月摘要和规则快照留存，WEXT1 只完成外出/加班 dry-run 支持。WOPS1 已公网验证巡检告警降噪：`HYD000006` 是管理员 `wangshunli` 的 employee_no，脚本不再把姓名字符串当员工号；已知 finding 不重复发送，只有阻断、脚本失败、新增 finding 或状态恶化才告警。WREAL1-PREP 只准备真实小范围试用清单，不启用真实员工；后续顺序收紧为 WROAD2-CLOSEOUT 三天验收 -> WEXT1-LIVE 外出/加班测试号 live POC -> 请假/补卡/外出/加班四类测试号证据通过后再问真实小范围试用。上述阶段仍不代表完整深度镜像、应急接管、恢复回写或 RuleOps 已完成。
+**不得误读**：本文只控制后续开发节奏、阶段顺序和门禁。WHMSLIVE 后只代表企微 HR 主数据镜像已部署并受控验证；WAPI 后进一步固定企微 API/Secret 口径并转为运行优先；WRRA 后明确 `PASS_WITH_FINDINGS` 只代表只读对账成功且存在差异，不代表企微考勤/审批镜像、OA 应急接管、恢复回写或 RuleOps 已完成运行时实现。WMSG1 只证明企业微信应用消息可达和 Deeplink 可回到 OA；WAPC1 只固化审批配置准备清单；WAPC2 只新增请假/补卡模板详情和低风险 `sp_no` 审批详情只读 POC，不代表真实回调或镜像能力已完成。WPROC1 后，WAPC2 不直接放行深度镜像，必须先完成自动样件、回调、补偿拉取和镜像数据模型设计门禁。WPROC2 只新增可执行 process gate。WAPC2FLIVE 已创建 OA-POC 请假/补卡测试模板和低风险测试审批单，并自动复跑 WAPC2 得到 `PASS_APPROVAL_POC`。WCBK1 已完成真实回调 URL 验证和一条现有 OA-POC 测试审批单事件确认，公网报告为 `PASS_CALLBACK_EVENT_CONFIRMED`；WEGOV1 后路线明确为“企微成熟功能优先上线，OA 做自建留存、审计、入口、消息和应急兜底”。WACP3R 已将补偿拉取复跑修正为自动按 `SMOKE002` creator 发现 OA-POC 请假/补卡模板，公网报告 `/app/artifacts/qa-flow/wecom-approval-compensation-poc-20260519T115944Z/summary.json` 为 `PASS_WITH_FINDINGS`。WREAD1F 新样例后，审批人真机确认请假和补卡消息卡片、列表、详情页均可看清；远端人工结果报告 `/app/artifacts/qa-flow/wecom-approval-readability-gate-20260519T133628Z/summary.json` 为 `PASS_READABLE`。但同意按钮单击即通过仍是操作风险，需在 WARCH1/WARCH2 的留存、审计、提示或操作规程中继续处理。WADM1 只完成自建留存/镜像数据模型设计；WARCH1 只实现请假/补卡最小审批历史留存、回调事件入库、补偿拉取入库和 QA-only 离线读取证明；WARCH2 只提供 OA DB 只读查询 API 和 PC/移动历史页，不调用企微 API、不读取企微 Secret、不代表完整镜像、外出/加班、应急接管、恢复回写或 RuleOps 已完成。WROAD2 后当前策略是测试账号受控上线和每日脚本化巡检，允许补偿归档写 OA 自建留存库，但不写企业微信、不扩大真实员工范围；WARCH3 将每日巡检升级为服务器 `systemd timer` 与脱敏企微告警，WCHECK1 增加打卡规范化明细、日/月摘要和规则快照留存，WEXT1 只完成外出/加班 dry-run 支持。WOPS1 已公网验证巡检告警降噪：`HYD000006` 是管理员 `wangshunli` 的 employee_no，脚本不再把姓名字符串当员工号；已知 finding 不重复发送，只有阻断、脚本失败、新增 finding 或状态恶化才告警。WROAD2-BIZ1 在三天内补充测试账号人工业务冒烟；WAPPR1 将申请人任意选择审批人列为真实试用前阻断 finding。WREAL1-PREP 只准备真实小范围试用清单，不启用真实员工；后续顺序收紧为 WROAD2-CLOSEOUT 三天验收 -> WROAD2-BIZ1 三天业务冒烟 -> WAPPR1 审批规则规范化 -> WEXT1-LIVE 外出/加班测试号 live POC -> 请假/补卡/外出/加班四类测试号证据和审批规则门禁通过后再问真实小范围试用。上述阶段仍不代表完整深度镜像、应急接管、恢复回写或 RuleOps 已完成。

 ## 1. 路线图原则

@@ -15,9 +15,9 @@
 - WEGOV1 后固定四域边界：企微主办域为打卡、请假、补卡、外出、加班、假期余额和人事助手；OA 主办域为报销、采购、合同、项目、付款、发票、银行回单、高敏附件和经营审计；OA 留存域保存企微关键历史和完整外部关联键；OA 应急域只在企微不可用时由管理员人工开启。
 - OA 不重造企业微信完整打卡、考勤和 HR 产品；V1 目标是企微不可用时可以查看已保存历史，不是完整替代企微继续办理。
 - WROAD2 后“可受控使用”和“完整镜像增强”分离：请假/补卡已归档历史可在 OA 查询，先用测试账号做 3 天每日脚本化巡检；完整镜像、应急接管、恢复回写和 RuleOps 继续后置。
- 外出/加班不作为当前受控上线阻断；`WEXT1` dry-run 已完成，live 创建必须在 WROAD2-CLOSEOUT 三天验收后另建 `WEXT1-LIVE` 合同并再次人工确认。
+- 外出/加班不作为当前受控上线阻断；`WEXT1` dry-run 已完成，live 创建必须在 WROAD2-CLOSEOUT、WROAD2-BIZ1 和 WAPPR1 结论可接受后另建 `WEXT1-LIVE` 合同并再次人工确认。
 - WOPS1 后巡检告警采用“状态记忆 + 新增异常”策略：既有 `PASS_WITH_FINDINGS` observation 进入基线后不重复发企微消息；只有 `SKIP/BLOCKED_BY_EXTERNAL_CONFIG`、脚本失败、新增 finding、状态恶化或人工 `--force` 才发送脱敏告警。
- WREAL1-PREP 只做真实小范围试用准备，当前继续测试账号；真实员工名单、试用周期、回滚联系人和验收标准必须等 WROAD2-CLOSEOUT、WEXT1-LIVE 和四类测试号证据通过后再通过问答确认。
+- WREAL1-PREP 只做真实小范围试用准备，当前继续测试账号；真实员工名单、试用周期、回滚联系人和验收标准必须等 WROAD2-CLOSEOUT、WROAD2-BIZ1、WAPPR1、WEXT1-LIVE、四类测试号证据和审批规则门禁通过后再通过问答确认。
 - 企业微信自建应用不按完整隔离 sandbox 处理；后续默认使用真实企业内受控测试域、本地 synthetic 自动测试、公网 live runner 和少量真机确认。
 - 阶段未满足退出条件前不得跳阶段。线上缺陷、安全风险、正式使用阻断或真实反馈可以另开独立 Issue CSV，但不得混入企微 HR/考勤主路线。
 - ERP 未来不接入 OA；真实支付、图片 OCR、银行流水导入、复杂 BPM、审批设计器、重预算和其他 P2 大功能继续冻结，试用期只处理阻断和真实反馈。
@@ -59,7 +59,9 @@
 | `WEXT1` | 外出/加班 dry-run 已实现 | 扩展 `npm run check:wecom-approval-fixtures` 支持 `--target=outing --target=overtime`，只构建 OA-POC 外出/加班最小通用模板和低风险审批申请 payload，仍默认 dry-run。已锁定后续 live 范围为外出+加班两类一起创建、样件保留审计、`SMOKE101` 真机确认，但必须等 WROAD2-CLOSEOUT 三天验收后另起 `WEXT1-LIVE` 合同。 |
 | `WOPS1` | 巡检告警降噪已公网验证 | 将 WARCH3 告警从“有 finding 就发”改为“阻断、失败、新增 finding 或状态恶化才发”；默认收件员工号 `HYD000006`。远端二次触发报告 `/app/artifacts/qa-flow/wecom-ops-alert-20260520T070740Z/summary.json` 为 `PASS_ALERT_SKIPPED_NO_FINDINGS`，原因 `no_new_findings_or_status_worsening`；状态文件只保存脱敏状态、finding 摘要和报告路径。 |
 | `WROAD2-CLOSEOUT` | 三天验收采集中 | Day 1/2/3 继续由 WARCH3 timer 采集；已知 observation（live smoke 凭据、pending OCR、历史 callback gap）可接受但要保留趋势；三天结束后只在异常或验收点问答，若通过则进入 `WEXT1-LIVE` 合同，不直接启用真实员工。 |
-| `WREAL1-PREP` | 真实小范围试用准备已固化 | 只固化候选员工条件、非自审审批人条件、回滚联系人、允许流程、暂停条件和验收标准；当前继续测试账号，四类测试号证据通过后才问是否启动真实小范围试用。 |
+| `WROAD2-BIZ1` | 三天人工业务冒烟已建档 | 三天内并行补充测试账号业务动作：`SMOKE002` 每天按规则尝试企微打卡，提交低风险请假/补卡；`SMOKE101` 先看详情再审批；`HYD000006` 每天查看 OA 归档历史和打卡摘要。人工业务冒烟不替代 WARCH3 自动巡检，不写企业微信，不启用真实员工。 |
+| `WAPPR1` | 审批规则规范化门禁已建档 | 用户发现补卡申请需要手动选择审批人后，正式把“申请人不得任意选择审批人”列为真实试用前门禁。测试模板固定 `SMOKE002 -> SMOKE101`；正式模板必须按直属主管、部门负责人或指定审批角色自动带出审批人；审批人缺失、停用、未绑定、不可见或自审时阻断。 |
+| `WREAL1-PREP` | 真实小范围试用准备已固化 | 只固化候选员工条件、非自审审批人条件、回滚联系人、允许流程、暂停条件和验收标准；当前继续测试账号，四类测试号证据和 WAPPR1 审批规则门禁通过后才问是否启动真实小范围试用。 |

 ## 3. 阶段路线

@@ -83,14 +85,16 @@
 | 16 | `WCHECK1 打卡摘要留存` | 保存规范化打卡明细、日/月摘要、异常摘要和规则快照。 | WROAD2+OPS 或 WARCH3 证明审批归档稳定；打卡只读 API 和权限仍可用。 | 已新增摘要表、规则快照、归档服务和 QA runner；OA 可查看必要打卡摘要和异常摘要；不保存完整位置、人脸、设备明文或原始 payload。 |
 | 17 | `WEXT1 外出/加班 dry-run` | 自动生成外出/加班低风险 POC 样件 payload，但不 live 创建。 | 用户批准先做 dry-run。 | 已扩展 WAPC2F runner 支持 `outing`、`overtime` dry-run；非自审、Secret 固定和脱敏报告沿用既有门禁。live 创建模板/审批单前必须再次问答批准。 |
 | 18 | `WOPS1 巡检告警降噪` | 修正管理员告警收件人和重复 finding 告警策略。 | WARCH3 已公网验证，用户要求告警只报新增异常。 | 已公网验证：`/app/artifacts/qa-flow/warch3-ops-20260520-070731/summary.json` 为 `PASS_WITH_FINDINGS`，告警 `/app/artifacts/qa-flow/wecom-ops-alert-20260520T070740Z/summary.json` 为 `PASS_ALERT_SKIPPED_NO_FINDINGS`；默认收件员工号 `HYD000006`，重复已知 finding 不发送。 |
-| 19 | `WROAD2-CLOSEOUT 三天验收` | 汇总 Day 0/1/2/3 巡检报告，决定是否进入外出/加班 live POC。 | WOPS1 本地和公网验证通过；WARCH3 timer 正常。 | 输出 `PASS_CONTROLLED_OPS_READY`、`PASS_WITH_FINDINGS`、`PAUSED_MANUAL_CONFIRMATION` 或 `SKIP/BLOCKED_BY_EXTERNAL_CONFIG`，再由用户问答确认是否进入 `WEXT1-LIVE`。 |
-| 20 | `WREAL1-PREP 真实试用准备` | 固化候选员工、审批人、允许流程、暂停条件、回滚联系人和验收标准，不启用真实员工。 | 用户选择可以并行准备但暂不引入真实员工。 | 文档和合同明确真实试用需等四类测试号证据通过后再问；当前继续测试账号。 |
-| 21 | `WEXT1-LIVE 外出/加班测试号 live POC` | 单次创建外出+加班 OA-POC 模板和低风险测试审批单，并做真机可读性确认。 | WROAD2-CLOSEOUT 三天验收通过或 finding 可解释；新建独立 Issue CSV；再次说明会留下的企微记录并取得人工确认。 | 两类样件保留审计；固定 `SMOKE002 -> SMOKE101`、`WECOM_AGENT_SECRET` 和双开关；只保存脱敏 template/`sp_no`/userid 前缀；`SMOKE101` 真机确认消息、列表、详情和按钮风险。 |
-| 22 | `WREAL1 小范围真实试用` | 在 1-2 名真实员工范围验证企微主办 HR/考勤和 OA 留存。 | 请假、补卡、外出、加班四类测试号证据通过；用户通过问答提供真实员工、审批人、试用周期、暂停条件和回滚联系人。 | 试用报告可解释通过或暂停；仍不直接全员推广。 |
-| 23 | `wecom_attendance_approval_mirror_v1` | 企微打卡、请假、补卡、外出、加班、假期余额和审批历史镜像到 OA。 | WREAL1 通过后再规划；不得仅凭测试号证据进入。 | OA 可查询企微 HR/考勤镜像、附件摘要、审批历史、考勤解释和审计；不把 OA 主办高敏审批迁到企微。 |
-| 24 | `oa_hr_emergency_mode_v1` | 企业微信不可用时，由管理员人工开启 OA HR/考勤应急接管。 | 自建历史留存和镜像数据可支撑对账；OA 应急入口、权限和审计方案明确。 | 管理员可填写原因、范围、预计结束时间和责任人后开启/关闭；应急单据带 `EMERGENCY` 标记。 |
-| 25 | `wecom_recovery_writeback_v1` | 企微恢复后，OA 应急数据先 dry-run，再回写企微。 | 应急接管模式完成；企微写回接口、冲突规则和回滚策略已单独批准。 | 系统生成成功、失败、跳过和冲突清单；无冲突项可自动回写，冲突进入人工确认。 |
-| 26 | `wecom_ruleops_v1` | AI 草拟企微规则、生成差异报告和 dry-run，人工确认后写入企微。 | 前述同步/回写链路稳定；企微规则 API 能力和权限已验证。 | 每次写入保存前后快照、确认人、API `errcode`、失败原因、回滚建议和审计记录。 |
+| 19 | `WROAD2-CLOSEOUT 三天验收` | 汇总 Day 0/1/2/3 巡检报告，决定是否进入外出/加班 live POC。 | WOPS1 本地和公网验证通过；WARCH3 timer 正常。 | 输出 `PASS_CONTROLLED_OPS_READY`、`PASS_WITH_FINDINGS`、`PAUSED_MANUAL_CONFIRMATION` 或 `SKIP/BLOCKED_BY_EXTERNAL_CONFIG`，并结合 WROAD2-BIZ1 人工业务冒烟结果问答确认。 |
+| 20 | `WROAD2-BIZ1 三天业务冒烟` | 在测试账号范围补充真实业务动作：打卡、请假、补卡、OA 离线查看，并为外出/加班 live POC 准备人工验收清单。 | 用户选择三天内测试更多业务；仍限定测试账号。 | 输出 `PASS_BUSINESS_SMOKE_READY`、`PASS_WITH_FINDINGS`、`PAUSED_MANUAL_CONFIRMATION` 或 `SKIP/BLOCKED_BY_EXTERNAL_CONFIG`；不写企微、不创建外出/加班样件。 |
+| 21 | `WAPPR1 审批规则规范化门禁` | 统一企微 HR/考勤审批人规则，禁止申请人任意选择审批人。 | 发现补卡申请需要手动选择审批人；用户要求审批规则按规范自动化。 | 四类模板按模板给出 `PASS_APPROVER_RULES_READY`、`PASS_WITH_TEMPLATE_ADJUSTMENTS`、`FAIL_KEEP_OA_PRIMARY_FOR_THIS_TEMPLATE` 或 `SKIP/BLOCKED_BY_EXTERNAL_CONFIG`；规则不通过不得进入真实试用。 |
+| 22 | `WREAL1-PREP 真实试用准备` | 固化候选员工、审批人、允许流程、暂停条件、回滚联系人和验收标准，不启用真实员工。 | 用户选择可以并行准备但暂不引入真实员工。 | 文档和合同明确真实试用需等四类测试号证据和 WAPPR1 审批规则门禁通过后再问；当前继续测试账号。 |
+| 23 | `WEXT1-LIVE 外出/加班测试号 live POC` | 单次创建外出+加班 OA-POC 模板和低风险测试审批单，并做真机可读性和审批规则确认。 | WROAD2-CLOSEOUT/WROAD2-BIZ1/WAPPR1 可解释通过；新建独立 Issue CSV；再次说明会留下的企微记录并取得人工确认。 | 两类样件保留审计；固定 `SMOKE002 -> SMOKE101`、`WECOM_AGENT_SECRET` 和双开关；只保存脱敏 template/`sp_no`/userid 前缀；`SMOKE101` 真机确认消息、列表、详情、按钮风险和审批人是否自动带出。 |
+| 24 | `WREAL1 小范围真实试用` | 在 1-2 名真实员工范围验证企微主办 HR/考勤和 OA 留存。 | 请假、补卡、外出、加班四类测试号证据通过；WAPPR1 规则门禁通过；用户通过问答提供真实员工、审批人、试用周期、暂停条件和回滚联系人。 | 试用报告可解释通过或暂停；仍不直接全员推广。 |
+| 25 | `wecom_attendance_approval_mirror_v1` | 企微打卡、请假、补卡、外出、加班、假期余额和审批历史镜像到 OA。 | WREAL1 通过后再规划；不得仅凭测试号证据进入。 | OA 可查询企微 HR/考勤镜像、附件摘要、审批历史、考勤解释和审计；不把 OA 主办高敏审批迁到企微。 |
+| 26 | `oa_hr_emergency_mode_v1` | 企业微信不可用时，由管理员人工开启 OA HR/考勤应急接管。 | 自建历史留存和镜像数据可支撑对账；OA 应急入口、权限和审计方案明确。 | 管理员可填写原因、范围、预计结束时间和责任人后开启/关闭；应急单据带 `EMERGENCY` 标记。 |
+| 27 | `wecom_recovery_writeback_v1` | 企微恢复后，OA 应急数据先 dry-run，再回写企微。 | 应急接管模式完成；企微写回接口、冲突规则和回滚策略已单独批准。 | 系统生成成功、失败、跳过和冲突清单；无冲突项可自动回写，冲突进入人工确认。 |
+| 28 | `wecom_ruleops_v1` | AI 草拟企微规则、生成差异报告和 dry-run，人工确认后写入企微。 | 前述同步/回写链路稳定；企微规则 API 能力和权限已验证。 | 每次写入保存前后快照、确认人、API `errcode`、失败原因、回滚建议和审计记录。 |

 ## 4. 每阶段固定门禁

@@ -262,9 +266,9 @@ WAPC2 通过后，下一步不是直接进入 `wecom_attendance_approval_mirror_
 9. `WARCH2 正式只读历史查询`：已提供 OA DB 只读 API 和 PC/移动历史页。
 10. `WROAD2+OPS 受控上线与每日巡检`：先做测试账号 3 天脚本化巡检，沉淀 Day 0/Day 1/Day 2/Day 3 脱敏报告。
 11. `WARCH3 / WCHECK1 / WEXT1 / WOPS1`：已补归档稳定化自动巡检、打卡摘要留存、外出/加班 dry-run 和告警降噪。
-12. `WROAD2-CLOSEOUT / WEXT1-LIVE / WREAL1`：三天验收后先问答进入外出/加班测试号 live POC；请假、补卡、外出、加班四类测试号证据通过后，再问真实小范围试用。
+12. `WROAD2-CLOSEOUT / WROAD2-BIZ1 / WAPPR1 / WEXT1-LIVE / WREAL1`：三天验收期间并行完成人工业务冒烟和审批规则规范化；通过后先问答进入外出/加班测试号 live POC；请假、补卡、外出、加班四类测试号证据和审批规则门禁通过后，再问真实小范围试用。

-WROAD2-CLOSEOUT、WEXT1-LIVE、四类测试号证据和 WREAL1 通过或明确批准前，不拆 `wecom_attendance_approval_mirror_v1`。
+WROAD2-CLOSEOUT、WROAD2-BIZ1、WAPPR1、WEXT1-LIVE、四类测试号证据和 WREAL1 通过或明确批准前，不拆 `wecom_attendance_approval_mirror_v1`。

 ## 13. WADM1 自建留存/镜像数据模型设计

@@ -348,6 +352,8 @@ WROAD2+OPS 把 WARCH2 后的可用能力先进入测试账号受控使用，不
 - 写入边界：巡检默认只读；仅审批补偿归档步骤可用进程级 `WECOM_ARCHIVE_WRITE=1` 与 `--persist-to-db` 写 OA 自建留存库。不写企业微信、不创建模板、不提交审批单。
 - 结果边界：结论只允许 `PASS_CONTROLLED_OPS_READY`、`PASS_WITH_FINDINGS`、`PAUSED_MANUAL_CONFIRMATION` 或真实 `SKIP/BLOCKED_BY_EXTERNAL_CONFIG`。
 - 后续顺序：WROAD2+OPS 后优先 `WARCH3` 归档稳定化，再做 `WCHECK1` 打卡摘要留存；外出/加班进入 `WEXT1` dry-run。上述阶段完成前，不启动完整深度镜像、应急接管、恢复回写或 RuleOps。
+- 业务冒烟：WROAD2-BIZ1 在三天内补充人工业务动作，不替代自动巡检。`SMOKE002` 每天按企微规则尝试上/下班打卡，提交低风险请假和补卡；`SMOKE101` 必须先打开详情再审批；`HYD000006` 每天查看 OA 企微审批归档和打卡摘要。无法打卡、无法审批或仍需手选审批人时按 finding 记录，不伪造成通过。
+- 审批规则：WAPPR1 把“申请人不得任意选择审批人”列为真实试用前门禁。测试模板固定 `SMOKE002 -> SMOKE101`；正式模板必须按直属主管、部门负责人或指定审批角色自动带出审批人；审批人缺失、停用、未绑定、不可见或等于申请人本人时阻断。

 ### 6.4 WARCH3 / WCHECK1 / WEXT1 当前边界

@@ -97,7 +97,7 @@ WDRG 后，企微优先 HR/考勤路线采用“路线图门禁 + 单功能 Issu

 当前企微优先路线顺序固定为：

-`WECOM-CAPABILITY-POC-V1 -> wecom_hr_master_sync_v1 -> runtime_first_wecom_enablement -> WOUA-FIX / WECOM-RUNTIME-READY-V1 -> WAPC1 审批配置准备 -> WAPC2 请假/补卡只读 POC -> WAPC2F 自动生成 POC 样件 -> WAPC2FLIVE live 创建与 WAPC2 自动复跑 -> WCBK1 回调只读 POC（真实事件已确认） -> WEGOV1 企微主办治理与自建留存路线修正 -> WACP3/WACP3R 补偿拉取 POC -> WREAD1 审批可读性与误审批防护门禁 -> WADM1 自建留存/镜像数据模型设计 -> WARCH1 最小自建历史留存实现 -> WARCH2 正式只读历史查询 -> WROAD2+OPS 受控上线与每日巡检 -> WARCH3 归档稳定化自动巡检 -> WCHECK1 打卡摘要留存 -> WEXT1 外出/加班 dry-run -> WOPS1 巡检告警降噪 -> WROAD2-CLOSEOUT 三天验收 -> WEXT1-LIVE 外出/加班测试号 live POC -> 四类测试号证据通过后问答 WREAL1 小范围真实试用 -> wecom_attendance_approval_mirror_v1 -> oa_hr_emergency_mode_v1 -> wecom_recovery_writeback_v1 -> wecom_ruleops_v1`
+`WECOM-CAPABILITY-POC-V1 -> wecom_hr_master_sync_v1 -> runtime_first_wecom_enablement -> WOUA-FIX / WECOM-RUNTIME-READY-V1 -> WAPC1 审批配置准备 -> WAPC2 请假/补卡只读 POC -> WAPC2F 自动生成 POC 样件 -> WAPC2FLIVE live 创建与 WAPC2 自动复跑 -> WCBK1 回调只读 POC（真实事件已确认） -> WEGOV1 企微主办治理与自建留存路线修正 -> WACP3/WACP3R 补偿拉取 POC -> WREAD1 审批可读性与误审批防护门禁 -> WADM1 自建留存/镜像数据模型设计 -> WARCH1 最小自建历史留存实现 -> WARCH2 正式只读历史查询 -> WROAD2+OPS 受控上线与每日巡检 -> WARCH3 归档稳定化自动巡检 -> WCHECK1 打卡摘要留存 -> WEXT1 外出/加班 dry-run -> WOPS1 巡检告警降噪 -> WROAD2-CLOSEOUT 三天验收 -> WROAD2-BIZ1 三天业务冒烟 -> WAPPR1 审批规则规范化 -> WEXT1-LIVE 外出/加班测试号 live POC -> 四类测试号证据和审批规则门禁通过后问答 WREAL1 小范围真实试用 -> wecom_attendance_approval_mirror_v1 -> oa_hr_emergency_mode_v1 -> wecom_recovery_writeback_v1 -> wecom_ruleops_v1`

 允许并行处理线上缺陷、正式使用阻断、真实反馈扫尾和 QA-only 脚本维护；但采购、合同、报销、付款、AP、代账和高敏附件等 OA 主办域必须另开合同，不得混入企微 HR/考勤路线。

@@ -20,7 +20,7 @@

 ## 最近事实源链

-R6 -> PC6 -> PA6 -> FL6 -> AP6 -> RI6 -> LP6 -> ME6/QG6 -> DG7/MRF7 -> MIA7 -> MIF7/MIF7T(公网部署与带凭据公网复检已收口) -> DG8 -> DG9 -> R7E -> FBA -> QAOPS9/P2D -> P2-ORG -> P2-FIN-DECISION -> P2-FIN-V1 -> P2-OCR-SAMPLE -> P2Q -> P2AUTO -> P2AF -> P2-FIN-LIVE-DECISION -> P2-FIN-LIVE -> PRELAUNCH -> CASHIER-VOUCHER-V1 -> LAUNCH-DEPLOY-FINANCE -> FIN-PROD-ENABLE -> ACCOUNTING-HANDOFF-V1 -> SYSTEM-COMPLETE-GATE -> LAUNCH-OPS-V1 -> REQ-COMPLETE-AUDIT -> ATTV1 -> LAUNCH-AUTO-OPS-V1 -> AUTO-REMAINING-CLOSEOUT -> HR-WECOM-DIRECTORY-V1 -> HRWD-CONTACT-LIVE-TEST -> WCFB -> WFOC -> DBWFOC -> WFDG -> WDRG -> WCP1 -> WCPC -> WHMS -> WHMSLIVE -> WOUA -> WAPI -> WRRA -> WOUA-FIX -> WRV1 -> WRA1 -> WMSG1 -> WAPC1 -> WAPC2 -> WPROC1 -> WPROC2 -> WAPC2F dry-run -> WAPC2FLIVE -> WCBK1 -> WEGOV1 -> WACP3/WACP3R -> WREAD1 自动汇总 -> WREAD1F 新样例 -> WREAD1 真机确认 -> WADM1 自建留存模型设计 -> WARCH1 最小审批历史留存 -> WARCH2 正式只读历史查询 -> WROAD2+OPS 受控上线与每日巡检 -> WARCH3 归档稳定化自动巡检 -> WCHECK1 打卡摘要留存 -> WEXT1 外出/加班 dry-run -> WOPS1 巡检告警降噪 -> WROAD2-CLOSEOUT 三天验收 -> WREAL1-PREP 真实试用准备 -> WEXT1-LIVE 路线选择（待三天验收后另建合同）。
+R6 -> PC6 -> PA6 -> FL6 -> AP6 -> RI6 -> LP6 -> ME6/QG6 -> DG7/MRF7 -> MIA7 -> MIF7/MIF7T(公网部署与带凭据公网复检已收口) -> DG8 -> DG9 -> R7E -> FBA -> QAOPS9/P2D -> P2-ORG -> P2-FIN-DECISION -> P2-FIN-V1 -> P2-OCR-SAMPLE -> P2Q -> P2AUTO -> P2AF -> P2-FIN-LIVE-DECISION -> P2-FIN-LIVE -> PRELAUNCH -> CASHIER-VOUCHER-V1 -> LAUNCH-DEPLOY-FINANCE -> FIN-PROD-ENABLE -> ACCOUNTING-HANDOFF-V1 -> SYSTEM-COMPLETE-GATE -> LAUNCH-OPS-V1 -> REQ-COMPLETE-AUDIT -> ATTV1 -> LAUNCH-AUTO-OPS-V1 -> AUTO-REMAINING-CLOSEOUT -> HR-WECOM-DIRECTORY-V1 -> HRWD-CONTACT-LIVE-TEST -> WCFB -> WFOC -> DBWFOC -> WFDG -> WDRG -> WCP1 -> WCPC -> WHMS -> WHMSLIVE -> WOUA -> WAPI -> WRRA -> WOUA-FIX -> WRV1 -> WRA1 -> WMSG1 -> WAPC1 -> WAPC2 -> WPROC1 -> WPROC2 -> WAPC2F dry-run -> WAPC2FLIVE -> WCBK1 -> WEGOV1 -> WACP3/WACP3R -> WREAD1 自动汇总 -> WREAD1F 新样例 -> WREAD1 真机确认 -> WADM1 自建留存模型设计 -> WARCH1 最小审批历史留存 -> WARCH2 正式只读历史查询 -> WROAD2+OPS 受控上线与每日巡检 -> WARCH3 归档稳定化自动巡检 -> WCHECK1 打卡摘要留存 -> WEXT1 外出/加班 dry-run -> WOPS1 巡检告警降噪 -> WROAD2-CLOSEOUT 三天验收 -> WROAD2-BIZ1 三天业务冒烟 -> WAPPR1 审批规则规范化 -> WREAL1-PREP 真实试用准备 -> WEXT1-LIVE 路线选择（待三天验收、业务冒烟和规则门禁后另建合同）。

 - R6、PC6、PA6、FL6、AP6、RI6、LP6 已完成并部署。
 - ME6 自动化、公网视觉矩阵和 `ME6-3` 代表性企业微信真机门禁已完成。
@@ -156,8 +156,10 @@ R6 -> PC6 -> PA6 -> FL6 -> AP6 -> RI6 -> LP6 -> ME6/QG6 -> DG7/MRF7 -> MIA7 -> M
 | `WCHECK1` | `issues/2026-05-20_12-48-04-wecom-checkin-summary-archive-v1.csv` | 当前打卡摘要留存：企微打卡数据进入 OA 自建历史摘要 | 新增打卡日/月摘要和规则快照表、`wecomCheckinArchive` 服务和 `npm run check:wecom-checkin-summary-archive`；公网 live `/app/artifacts/qa-flow/wecom-checkin-summary-archive-20260520T054907Z/summary.json` 为 `PASS_CHECKIN_ARCHIVE_READY`，offline `/app/artifacts/qa-flow/wecom-checkin-summary-archive-20260520T054926Z/summary.json` 为 `PASS_CHECKIN_ARCHIVE_OFFLINE_READY` | 不写企业微信；不保存位置、人脸、设备明文、原始 payload 或密钥；本窗口 0 条打卡明细、2 条规则快照已写 OA 留存 |
 | `WEXT1` | `issues/2026-05-20_12-48-04-wecom-outing-overtime-fixture-dryrun-v1.csv` | 当前外出/加班低风险 POC dry-run | 扩展 `npm run check:wecom-approval-fixtures` 支持 `--target=outing --target=overtime`，公网报告 `/app/artifacts/qa-flow/wecom-approval-fixtures-20260520T054940Z/summary.json` 为 `PASS_FIXTURE_DRY_RUN_READY` | 不 live 创建企微模板或审批单；live 前必须另起问答和 Issue CSV；不放行完整镜像 |
 | `WOPS1` | `issues/2026-05-20_14-35-42-warch3-ops-alert-tuning-v1.csv` | 已完成并公网验证：巡检告警降噪，只报新增异常或状态恶化 | 默认收件员工号改为 `HYD000006`（管理员 `wangshunli` 的员工号）；`send-wecom-ops-alert` 使用状态文件记录上次状态和 finding 摘要；远端 WARCH3 `/app/artifacts/qa-flow/warch3-ops-20260520-070731/summary.json` 为 `PASS_WITH_FINDINGS`，告警 `/app/artifacts/qa-flow/wecom-ops-alert-20260520T070740Z/summary.json` 为 `PASS_ALERT_SKIPPED_NO_FINDINGS`，重复 finding 未发送 | 不写企业微信业务数据；只发送脱敏状态消息；不扩大真实用户 |
-| `WROAD2-CLOSEOUT` | `issues/2026-05-20_14-35-42-wroad2-controlled-ops-closeout-v1.csv` | 当前三天受控巡检验收：Day 1/2/3 采集后人工确认 | 已知 observation 为 live smoke 凭据、pending OCR 和历史 callback gap，不阻断；主链必须保持企微 runtime、审批补偿归档、OA 离线读取、打卡摘要 offline 可读和隐私扫描通过 | 三天结束前不启用真实员工；结论需用户问答确认是否进入 WEXT1-LIVE、先处理 finding 或暂停 |
-| `WREAL1-PREP` | `issues/2026-05-20_14-35-42-wecom-real-trial-prep-v1.csv` | 当前真实试用准备：不启用真实员工 | 固化候选员工、非自审审批人、回滚联系人、允许流程、暂停条件和验收标准；真实试用必须等请假、补卡、外出、加班四类测试号证据通过后再问 | 当前不创建外出/加班 live 样件；真实员工名单不写入 Issue 或文档，后续通过问答确认 |
+| `WROAD2-CLOSEOUT` | `issues/2026-05-20_14-35-42-wroad2-controlled-ops-closeout-v1.csv` | 当前三天受控巡检验收：Day 1/2/3 采集后人工确认 | 已知 observation 为 live smoke 凭据、pending OCR 和历史 callback gap，不阻断；主链必须保持企微 runtime、审批补偿归档、OA 离线读取、打卡摘要 offline 可读和隐私扫描通过 | 三天结束前不启用真实员工；结论需结合 WROAD2-BIZ1/WAPPR1 后问答确认是否进入 WEXT1-LIVE、先处理 finding 或暂停 |
+| `WROAD2-BIZ1` | `issues/2026-05-20_17-13-57-wroad2-business-smoke-v1.csv` | 当前三天业务冒烟：补充测试账号人工业务动作 | `SMOKE002` 每天按企微规则尝试打卡并提交低风险请假/补卡，`SMOKE101` 先看详情再审批，`HYD000006` 查看 OA 归档历史和打卡摘要 | 不替代 WARCH3 自动巡检；不写企业微信；无法打卡、无法审批或仍需手选审批人时记录 finding |
+| `WAPPR1` | `issues/2026-05-20_17-13-57-wecom-approval-rule-governance-v1.csv` | 当前审批规则规范化门禁：真实试用前必须解决审批人规则 | 测试模板固定 `SMOKE002 -> SMOKE101`；正式请假、补卡、外出、加班模板必须自动带出审批人；申请人不得任意选择审批人 | 审批人缺失、停用、未绑定、不可见或自审时阻断；规则未通过的模板不得进入真实试用 |
+| `WREAL1-PREP` | `issues/2026-05-20_14-35-42-wecom-real-trial-prep-v1.csv` | 当前真实试用准备：不启用真实员工 | 固化候选员工、非自审审批人、回滚联系人、允许流程、暂停条件和验收标准；真实试用必须等请假、补卡、外出、加班四类测试号证据和 WAPPR1 通过后再问 | 当前不创建外出/加班 live 样件；真实员工名单不写入 Issue 或文档，后续通过问答确认 |

 旧 Issue CSV 不删除、不批量回写、不移动到归档目录。若新治理流替代旧合同，只在新 CSV 的 `Notes` 或本索引说明 supersedes，旧文件保留历史审计语义。

@@ -180,7 +182,7 @@ R6 -> PC6 -> PA6 -> FL6 -> AP6 -> RI6 -> LP6 -> ME6/QG6 -> DG7/MRF7 -> MIA7 -> M
 | [海音达OA-MVP需求规格说明书](./海音达OA-MVP需求规格说明书.md) | PRD 主事实源；WARCH3/WCHECK1/WEXT1 后包含企微审批配置、只读 POC、工程化前置、process gate、请假/补卡样例、自建留存、受控上线巡检、打卡摘要、外出/加班 dry-run 和深度镜像前置口径 |
 | [文档事实源状态矩阵](./文档事实源状态矩阵.md) | 文档分类、删除恢复和冲突规则 |
 | [产品设计规则](./产品设计规则.md) | PC、移动、企业微信 WebView 设计事实源；DG8 后飞书工作台/飞书审批为唯一主 UI/布局参考；DG9 后按页面分层和样板选型 |
-| [企微优先开发路线图](./企微优先开发路线图.md) | WDRG/WCP1/WCPC/WHMS/WHMSLIVE/WOUA/WAPI/WRRA/WOUA-FIX/WRV1/WRA1/WMSG1/WAPC1/WAPC2/WPROC1/WPROC2/WAPC2F/WAPC2FLIVE/WCBK1/WEGOV1/WACP3/WACP3R/WREAD1/WREAD1F/WARCH1/WARCH2/WROAD2/WARCH3/WCHECK1/WEXT1/WOPS1/WROAD2-CLOSEOUT/WREAL1-PREP 后企微优先 HR/考勤改造的阶段顺序、准入/退出门禁、并行规则、禁止跳阶段、API/Secret 口径、运行优先、自建留存、受控上线巡检、告警降噪、打卡摘要、外出/加班 dry-run、WEXT1-LIVE 和后续 WREAL1/镜像前置事实源 |
+| [企微优先开发路线图](./企微优先开发路线图.md) | WDRG/WCP1/WCPC/WHMS/WHMSLIVE/WOUA/WAPI/WRRA/WOUA-FIX/WRV1/WRA1/WMSG1/WAPC1/WAPC2/WPROC1/WPROC2/WAPC2F/WAPC2FLIVE/WCBK1/WEGOV1/WACP3/WACP3R/WREAD1/WREAD1F/WARCH1/WARCH2/WROAD2/WARCH3/WCHECK1/WEXT1/WOPS1/WROAD2-CLOSEOUT/WROAD2-BIZ1/WAPPR1/WREAL1-PREP 后企微优先 HR/考勤改造的阶段顺序、准入/退出门禁、并行规则、禁止跳阶段、API/Secret 口径、运行优先、自建留存、受控上线巡检、三天业务冒烟、审批规则规范化、告警降噪、打卡摘要、外出/加班 dry-run、WEXT1-LIVE 和后续 WREAL1/镜像前置事实源 |
 | [企微 API 能力目录](./企微API能力目录.md) | WAPI/WAPC1/WAPC2/WPROC1/WPROC2/WAPC2F/WAPC2FLIVE/WCBK1/WEGOV1/WACP3/WACP3R/WARCH1/WARCH2/WROAD2/WARCH3/WCHECK1/WEXT1 后企微官方 API、Secret 矩阵、权限/可信 IP/回调模板、读写边界、运行优先、审批配置、只读 POC、回调/补偿入库、打卡摘要留存、外出/加班 dry-run 和巡检写 OA 留存边界事实源 |
 | [产品口径](./产品口径.md) | 已拍板产品边界和业务规则；WEGOV1 后包含混合主办、自建留存、受控测试域、后续阶段顺序和深度镜像前置口径 |
 | [需求 - 统一审批中心规约](./需求-统一审批中心规约.md) | OA 主办审批、企微主办 HR/考勤员工日常审批镜像、催办、超时提醒、审批效率 |
@@ -70,7 +70,7 @@ Definition of Done：
 - 人工只保留批准、密钥/回调配置、企微后台不可 API 化配置、真机确认和风险拍板。
 - 若面向公网或企微可测，必须有 `/ready`、runtime smoke、public bundle scan 或对应 live runner 证据。

-高风险企微能力的 POC 顺序固定为：WAPC2F 自动样件 -> WAPC2FLIVE live 创建与 WAPC2 自动复跑 -> WCBK1 回调只读 POC -> WEGOV1 企微主办治理与自建留存路线修正 -> WACP3/WACP3R 补偿拉取 POC -> WREAD1 审批可读性与误审批防护门禁 -> WADM1 自建留存/镜像数据模型设计 -> WARCH1 最小自建历史留存实现 -> `wecom_attendance_approval_mirror_v1`。当前 WAPC2FLIVE、WCBK1、WACP3R、请假/补卡 WREAD1、WADM1 和 WARCH1 均已完成；后续不得跳过正式查询/权限、外出/加班、打卡细项等独立门禁直接做完整镜像。真实回调必须先证明验签、解密、幂等和重复投递；补偿拉取必须先证明按时间窗口拿到审批单号并可拉详情；可读性门禁必须确认审批消息、列表、详情页和快捷同意/驳回误操作风险；镜像实现前必须先有字段、状态机、幂等键、索引和隐私保留边界设计。
+高风险企微能力的 POC 顺序固定为：WAPC2F 自动样件 -> WAPC2FLIVE live 创建与 WAPC2 自动复跑 -> WCBK1 回调只读 POC -> WEGOV1 企微主办治理与自建留存路线修正 -> WACP3/WACP3R 补偿拉取 POC -> WREAD1 审批可读性与误审批防护门禁 -> WADM1 自建留存/镜像数据模型设计 -> WARCH1 最小自建历史留存实现 -> WARCH2 正式只读历史查询 -> WROAD2/WARCH3/WCHECK1 受控巡检和打卡摘要 -> WROAD2-BIZ1 三天业务冒烟 -> WAPPR1 审批规则规范化 -> WEXT1-LIVE 外出/加班测试号 live POC -> WREAL1 小范围真实试用 -> `wecom_attendance_approval_mirror_v1`。当前 WAPC2FLIVE、WCBK1、WACP3R、请假/补卡 WREAD1、WADM1、WARCH1、WARCH2、WARCH3/WCHECK1/WEXT1/WOPS1 均已完成；后续不得跳过三天业务冒烟、审批规则门禁、外出/加班 live、真实试用等独立门禁直接做完整镜像。真实回调必须先证明验签、解密、幂等和重复投递；补偿拉取必须先证明按时间窗口拿到审批单号并可拉详情；可读性门禁必须确认审批消息、列表、详情页和快捷同意/驳回误操作风险；审批规则门禁必须确认申请人不能任意选择审批人、审批人自动带出且非自审；镜像实现前必须先有字段、状态机、幂等键、索引和隐私保留边界设计。

 WEGOV1 后的企业微信测试环境口径：不假设自建应用有完整隔离 sandbox。自动化优先覆盖 API、回调、补偿拉取、脱敏报告和 OA 留存校验；人工只确认后台不可 API 化配置、真机收到/点击、审批详情是否看得清、正式写入和应急风险拍板。

@@ -56,7 +56,7 @@
 | 恢复回写层 | OA + 企业微信 API | 企微恢复后由 `wecom_recovery_writeback_v1` 对应急数据执行 dry-run、自动回写、失败重试和冲突清单。 |
 | 财务主办层 | OA | 报销、PDF 发票 OCR、发票查重、付款批次、银行回单、AP 台账、代账交接继续 OA 主办，不迁移到企微。 |

-无痛切换是长期目标，不代表本轮已实现完整替代。完整镜像按域定义：企微主办域镜像到 OA；OA 主办域不反向全量镜像到企微，只发送脱敏标题、业务类型、业务编号、状态和 OA 链接。WEGOV1 后，OA 不重造企业微信完整打卡/考勤/HR 产品，但必须保存企微关键历史、完整外部关联键和必要快照，保证企微不可用时可查看既有数据。WROAD2 后“可受控使用”和“完整镜像增强”分离：先用测试账号 `SMOKE002 -> SMOKE101 + HYD000006/wangshunli` 做 3 天每日脚本化巡检，允许补偿归档写 OA 自建留存库，不写企业微信；WARCH3 改为 07:30 自动巡检，WCHECK1 优先做打卡摘要留存，WEXT1 只做外出/加班 dry-run，WOPS1 后只报新增异常或状态恶化，图片 OCR、复杂 BPM、预算、ERP、银行流水导入等 P2 大功能继续冻结。后续必须按 `wecom_hr_master_sync_v1`、`runtime_first_wecom_enablement`、`WOUA-FIX / WECOM-RUNTIME-READY-V1`、`WAPC1 审批配置准备`、`WAPC2 请假/补卡只读 POC`、`WAPC2F 自动生成 POC 样件`、`WAPC2FLIVE live 创建与 WAPC2 自动复跑`、`WCBK1 回调只读 POC（真实事件已确认）`、`WEGOV1 企微主办治理与自建留存路线修正`、`WACP3/WACP3R 补偿拉取 POC`、`WREAD1 审批可读性与误审批防护门禁`、`WADM1 自建留存/镜像数据模型设计`、`WARCH1 最小自建历史留存实现`、`WARCH2 正式只读历史查询`、`WROAD2+OPS 受控上线与每日巡检`、`WARCH3 归档稳定化自动巡检`、`WCHECK1 打卡摘要留存`、`WEXT1 外出/加班 dry-run`、`WOPS1 巡检告警降噪`、`WROAD2-CLOSEOUT 三天验收`、`WEXT1-LIVE 外出/加班测试号 live POC`、`WREAL1 小范围真实试用`、`wecom_attendance_approval_mirror_v1`（承接旧口径 `wecom_native_approval_mirror_v1`）、`oa_hr_emergency_mode_v1`、`wecom_recovery_writeback_v1` 和 `wecom_ruleops_v1` 分阶段拆 Issue CSV；WREAL1 必须等请假、补卡、外出、加班四类测试号证据通过后再问答启动。
+无痛切换是长期目标，不代表本轮已实现完整替代。完整镜像按域定义：企微主办域镜像到 OA；OA 主办域不反向全量镜像到企微，只发送脱敏标题、业务类型、业务编号、状态和 OA 链接。WEGOV1 后，OA 不重造企业微信完整打卡/考勤/HR 产品，但必须保存企微关键历史、完整外部关联键和必要快照，保证企微不可用时可查看既有数据。WROAD2 后“可受控使用”和“完整镜像增强”分离：先用测试账号 `SMOKE002 -> SMOKE101 + HYD000006/wangshunli` 做 3 天每日脚本化巡检，允许补偿归档写 OA 自建留存库，不写企业微信；WARCH3 改为 07:30 自动巡检，WCHECK1 优先做打卡摘要留存，WEXT1 只做外出/加班 dry-run，WOPS1 后只报新增异常或状态恶化，WROAD2-BIZ1 补充三天测试账号打卡/请假/补卡/OA 离线查看人工业务冒烟，WAPPR1 把审批人自动带出和禁止申请人任意选择审批人列为真实试用前门禁，图片 OCR、复杂 BPM、预算、ERP、银行流水导入等 P2 大功能继续冻结。后续必须按 `wecom_hr_master_sync_v1`、`runtime_first_wecom_enablement`、`WOUA-FIX / WECOM-RUNTIME-READY-V1`、`WAPC1 审批配置准备`、`WAPC2 请假/补卡只读 POC`、`WAPC2F 自动生成 POC 样件`、`WAPC2FLIVE live 创建与 WAPC2 自动复跑`、`WCBK1 回调只读 POC（真实事件已确认）`、`WEGOV1 企微主办治理与自建留存路线修正`、`WACP3/WACP3R 补偿拉取 POC`、`WREAD1 审批可读性与误审批防护门禁`、`WADM1 自建留存/镜像数据模型设计`、`WARCH1 最小自建历史留存实现`、`WARCH2 正式只读历史查询`、`WROAD2+OPS 受控上线与每日巡检`、`WARCH3 归档稳定化自动巡检`、`WCHECK1 打卡摘要留存`、`WEXT1 外出/加班 dry-run`、`WOPS1 巡检告警降噪`、`WROAD2-CLOSEOUT 三天验收`、`WROAD2-BIZ1 三天业务冒烟`、`WAPPR1 审批规则规范化`、`WEXT1-LIVE 外出/加班测试号 live POC`、`WREAL1 小范围真实试用`、`wecom_attendance_approval_mirror_v1`（承接旧口径 `wecom_native_approval_mirror_v1`）、`oa_hr_emergency_mode_v1`、`wecom_recovery_writeback_v1` 和 `wecom_ruleops_v1` 分阶段拆 Issue CSV；WREAL1 必须等请假、补卡、外出、加班四类测试号证据和审批规则门禁通过后再问答启动。

 ### 1.5 DBWFOC 数据边界修正

@@ -77,7 +77,7 @@ WFDG 将 DBWFOC 后的产品方向固化为开发前设计门禁。本节只代
 | 报销、采购、合同、项目、付款、AP、代账 | OA | 主办提交、审批、附件、导出、付款批次、审计和代账资料 | 只发送脱敏消息和 OA deeplink | 采购单附件、合同正文、报价、供应商资料、发票、银行回单和代账资料不进入企微原生审批或企微附件 |
 | RuleOps | OA + 企业微信 API | AI 草拟、差异报告、dry-run、人工确认、审计和回滚建议 | 接收经确认的审批模板、打卡规则、排班、假期余额或人事字段配置写入 | AI 不得直接改正式规则；每次写入保存前后快照、确认人、API `errcode` 和失败原因 |

-`WECOM-CAPABILITY-POC-V1` / WCPC 已按 `CAN_REUSE_NOW`、`NEEDS_CONFIG`、`NEEDS_API_POC`、`KEEP_OA_PRIMARY`、`NOT_SUPPORTED_BY_API` 输出人事助手、通讯录、打卡、审批、假期余额、回调和权限配置能力矩阵，并达到 HR 主数据镜像准入。WHMS/WHMSLIVE 已完成 HR 主数据镜像实现和受控公网验证；WAPI 已固定 API/Secret 口径并复跑 WOUA；WRRA 后明确 `PASS_WITH_FINDINGS` 不能直接放行深度镜像；WOUA-FIX 已将 7 个缺企微测试账号软归档并复检 `oaActiveMissingInWecom=0`，企微缺字段先接受不补；WMSG1 已证明真实企微应用消息和 Deeplink 可用；WAPC1 已固化审批配置准备清单；WAPC2 已提供请假/补卡只读 POC runner；WAPC2FLIVE 已创建 OA-POC 样件并自动复跑通过；WCBK1 已完成真实回调 URL 验证和审批状态事件确认；WACP3R 已自动发现 OA-POC 请假/补卡模板并证明补偿拉取和详情读取可用；WPROC1/WPROC2 已固定自动化优先、非自审、高风险 POC 前置和 process gate；WEGOV1 固定企微主办 + OA 自建留存路线；WARCH1/WARCH2 已完成请假/补卡最小留存和正式只读查询；WARCH3/WCHECK1/WEXT1/WOPS1 补齐自动巡检、打卡摘要、外出/加班 dry-run 和告警降噪。生产写接口必须单独批准。正式开发顺序为 `wecom_hr_master_sync_v1` -> `runtime_first_wecom_enablement` -> `WOUA-FIX / WECOM-RUNTIME-READY-V1` -> `WAPC1 审批配置准备` -> `WAPC2 请假/补卡只读 POC` -> `WAPC2F 自动生成 POC 样件` -> `WAPC2FLIVE live 创建与 WAPC2 自动复跑` -> `WCBK1 回调只读 POC（真实事件已确认）` -> `WEGOV1 企微主办治理与自建留存路线修正` -> `WACP3/WACP3R 补偿拉取 POC` -> `WREAD1 审批可读性与误审批防护门禁` -> `WADM1 自建留存/镜像数据模型设计` -> `WARCH1 最小自建历史留存实现` -> `WARCH2 正式只读历史查询` -> `WROAD2+OPS 受控上线与每日巡检` -> `WARCH3 归档稳定化自动巡检` -> `WCHECK1 打卡摘要留存` -> `WEXT1 外出/加班 dry-run` -> `WOPS1 巡检告警降噪` -> `WROAD2-CLOSEOUT 三天验收` -> `WEXT1-LIVE 外出/加班测试号 live POC` -> `WREAL1 小范围真实试用` -> `wecom_attendance_approval_mirror_v1`（承接旧口径 `wecom_native_approval_mirror_v1`）-> `oa_hr_emergency_mode_v1` -> `wecom_recovery_writeback_v1` -> `wecom_ruleops_v1`；WREAL1 不能仅凭测试号巡检启动，必须等四类测试号证据通过后再问答。
+`WECOM-CAPABILITY-POC-V1` / WCPC 已按 `CAN_REUSE_NOW`、`NEEDS_CONFIG`、`NEEDS_API_POC`、`KEEP_OA_PRIMARY`、`NOT_SUPPORTED_BY_API` 输出人事助手、通讯录、打卡、审批、假期余额、回调和权限配置能力矩阵，并达到 HR 主数据镜像准入。WHMS/WHMSLIVE 已完成 HR 主数据镜像实现和受控公网验证；WAPI 已固定 API/Secret 口径并复跑 WOUA；WRRA 后明确 `PASS_WITH_FINDINGS` 不能直接放行深度镜像；WOUA-FIX 已将 7 个缺企微测试账号软归档并复检 `oaActiveMissingInWecom=0`，企微缺字段先接受不补；WMSG1 已证明真实企微应用消息和 Deeplink 可用；WAPC1 已固化审批配置准备清单；WAPC2 已提供请假/补卡只读 POC runner；WAPC2FLIVE 已创建 OA-POC 样件并自动复跑通过；WCBK1 已完成真实回调 URL 验证和审批状态事件确认；WACP3R 已自动发现 OA-POC 请假/补卡模板并证明补偿拉取和详情读取可用；WPROC1/WPROC2 已固定自动化优先、非自审、高风险 POC 前置和 process gate；WEGOV1 固定企微主办 + OA 自建留存路线；WARCH1/WARCH2 已完成请假/补卡最小留存和正式只读查询；WARCH3/WCHECK1/WEXT1/WOPS1 补齐自动巡检、打卡摘要、外出/加班 dry-run 和告警降噪；WROAD2-BIZ1/WAPPR1 固定三天人工业务冒烟和审批规则规范化门禁。生产写接口必须单独批准。正式开发顺序为 `wecom_hr_master_sync_v1` -> `runtime_first_wecom_enablement` -> `WOUA-FIX / WECOM-RUNTIME-READY-V1` -> `WAPC1 审批配置准备` -> `WAPC2 请假/补卡只读 POC` -> `WAPC2F 自动生成 POC 样件` -> `WAPC2FLIVE live 创建与 WAPC2 自动复跑` -> `WCBK1 回调只读 POC（真实事件已确认）` -> `WEGOV1 企微主办治理与自建留存路线修正` -> `WACP3/WACP3R 补偿拉取 POC` -> `WREAD1 审批可读性与误审批防护门禁` -> `WADM1 自建留存/镜像数据模型设计` -> `WARCH1 最小自建历史留存实现` -> `WARCH2 正式只读历史查询` -> `WROAD2+OPS 受控上线与每日巡检` -> `WARCH3 归档稳定化自动巡检` -> `WCHECK1 打卡摘要留存` -> `WEXT1 外出/加班 dry-run` -> `WOPS1 巡检告警降噪` -> `WROAD2-CLOSEOUT 三天验收` -> `WROAD2-BIZ1 三天业务冒烟` -> `WAPPR1 审批规则规范化` -> `WEXT1-LIVE 外出/加班测试号 live POC` -> `WREAL1 小范围真实试用` -> `wecom_attendance_approval_mirror_v1`（承接旧口径 `wecom_native_approval_mirror_v1`）-> `oa_hr_emergency_mode_v1` -> `wecom_recovery_writeback_v1` -> `wecom_ruleops_v1`；WREAL1 不能仅凭测试号巡检启动，必须等四类测试号证据和审批规则门禁通过后再问答。

 ### 1.7 WDRG 开发路线图门禁

@@ -90,7 +90,7 @@ WDRG 将 WFDG 后的设计门禁转化为开发节奏门禁。本节只代表路
 | `runtime_first_wecom_enablement` | 优先利用入口、免登/绑定、脱敏消息、deeplink、通讯录 userid 清单、人事助手读取、打卡读取和只读对账 | API/Secret 口径固定，WOUA 差异已分类并有处理决策 |
 | `WOUA-FIX / WECOM-RUNTIME-READY-V1` | 收口 OA/企微用户一致性差异和运行优先准入 | 区分真实员工、测试账号、待补企微字段、待清理绑定和 WHMS 批量窗口决策 |
 | `WAPC2FLIVE -> WCBK1 -> WACP3/WACP3R -> WREAD1 -> WADM1 -> WARCH1 -> WARCH2` | 先用请假/补卡低风险样例证明审批详情、回调、补偿拉取、可读性、自建留存和只读查询 | 已完成请假/补卡最小链路；仍不代表完整镜像、外出/加班、应急接管或恢复回写 |
-| `WROAD2+OPS -> WARCH3 -> WCHECK1 -> WEXT1 -> WOPS1 -> WROAD2-CLOSEOUT -> WEXT1-LIVE -> WREAL1` | 先测试账号受控上线和每日巡检，再做归档稳定化自动巡检、打卡摘要留存、外出/加班 dry-run、告警降噪、三天验收和外出/加班测试号 live POC；四类测试号证据通过后才问真实试用 | 3 天巡检报告、归档/打卡摘要边界和四类测试号证据明确后，再评估真实试用和完整镜像 |
+| `WROAD2+OPS -> WARCH3 -> WCHECK1 -> WEXT1 -> WOPS1 -> WROAD2-CLOSEOUT -> WROAD2-BIZ1 -> WAPPR1 -> WEXT1-LIVE -> WREAL1` | 先测试账号受控上线和每日巡检，再做归档稳定化自动巡检、打卡摘要留存、外出/加班 dry-run、告警降噪、三天验收、人工业务冒烟、审批规则规范化和外出/加班测试号 live POC；四类测试号证据和规则门禁通过后才问真实试用 | 3 天巡检报告、归档/打卡摘要边界、审批规则门禁和四类测试号证据明确后，再评估真实试用和完整镜像 |
 | `wecom_attendance_approval_mirror_v1` | 企微打卡、请假、补卡、外出、加班、假期余额和审批历史镜像到 OA | WREAL1 通过或明确批准后再拆；OA 可查询企微 HR/考勤镜像、考勤解释和审计 |
 | `oa_hr_emergency_mode_v1` | 企业微信不可用时管理员人工开启 OA HR/考勤应急接管 | 应急单据带 `EMERGENCY` 标记，开启/关闭均有原因、范围、责任人和审计 |
 | `wecom_recovery_writeback_v1` | 企微恢复后，OA 应急数据先 dry-run，再回写企微 | 生成成功、失败、跳过和冲突清单，不静默覆盖企微正式记录 |
@@ -301,7 +301,7 @@ WFOC/DBWFOC 后审批分为两类：OA 主办审批和企微主办审批。OA
 - 企业微信打卡用于原始采集和规则执行，保留其定位、人脸、Wi-Fi、排班、设备和防作弊能力。
 - OA 不重造企业微信打卡规则、定位、人脸识别、排班或防作弊引擎。
 - 请假、补卡、外出、加班等考勤修正申请优先在企业微信原生审批中提交和处理。
- OA 先通过 WARCH1/WARCH2 保存并查询请假/补卡已归档历史，再通过 WROAD2+OPS 做测试账号受控巡检；`WCHECK1` 已保存打卡日/月摘要、异常摘要和规则快照，`WEXT1` 已完成外出/加班 dry-run。完整 `wecom_attendance_approval_mirror_v1` 需等 WROAD2-CLOSEOUT、WEXT1-LIVE 四类测试号证据和 WREAL1 通过或明确批准后再拆。
+- OA 先通过 WARCH1/WARCH2 保存并查询请假/补卡已归档历史，再通过 WROAD2+OPS 做测试账号受控巡检；`WCHECK1` 已保存打卡日/月摘要、异常摘要和规则快照，`WEXT1` 已完成外出/加班 dry-run，`WROAD2-BIZ1` 补充三天人工业务冒烟，`WAPPR1` 固定审批人规则规范化门禁。完整 `wecom_attendance_approval_mirror_v1` 需等 WROAD2-CLOSEOUT、WROAD2-BIZ1、WAPPR1、WEXT1-LIVE、四类测试号证据和 WREAL1 通过或明确批准后再拆。
 - 企业微信不可用时，管理员可人工开启 `oa_hr_emergency_mode_v1`，临时开放 OA 提交和审批；应急单据带 `EMERGENCY` 标记并进入恢复回写队列。

 ### 7.2 用户流程
@@ -1,6 +1,6 @@
 # hyb-oa 管理员手册（10 人以下团队版）

-**当前状态（2026-05-20 / WOPS1/WROAD2-CLOSEOUT/WREAL1-PREP 后）**：R7E、PRELAUNCH、财务闭环、ATTV1、HR-WECOM-DIRECTORY-V1、WAPI、WOUA-FIX、WRV1/WRA1、WMSG1、WAPC1/WAPC2、WPROC1/WPROC2、WAPC2F dry-run、WAPC2FLIVE、WCBK1、WEGOV1、WACP3/WACP3R、WREAD1/WREAD1F、WADM1、WARCH1 和 WARCH2 均已收口到当前开发阶段；WROAD2+OPS 已完成测试账号受控上线 Day 0 巡检，报告 `/app/artifacts/qa-flow/wroad2-ops-20260520-041941/summary.json` 为 `PASS_WITH_FINDINGS`；SYSTEM-COMPLETE-GATE 结论为 `GO_TO_USE`。WAPI 后固定企微 API 能力目录和 Secret 矩阵：通讯录使用 `WECOM_CONTACT_SECRET`，人事助手/打卡/消息/OAuth/审批读取使用 `WECOM_AGENT_SECRET`，运行时代码不得靠多个 Secret 试错。WAPC2FLIVE 已创建 OA-POC 请假/补卡测试模板和低风险测试审批单，报告 `/app/artifacts/qa-flow/wecom-approval-fixtures-20260519T053400Z/summary.json` 为 `PASS_FIXTURE_CREATED`，自动复跑 WAPC2 为 `PASS_APPROVAL_POC`；测试模板和审批记录保留审计，不自动删除。WCBK1 已部署只读回调端点和 runner，远端完成回调 URL 验证并收到一条由 `SMOKE101` 同意现有 OA-POC 补卡测试单触发的真实审批状态事件，报告 `/app/artifacts/qa-flow/wecom-approval-callback-poc-20260519T092648Z/summary.json` 为 `PASS_CALLBACK_EVENT_CONFIRMED`。WACP3R 已新增自动发现模板 ID 路径并公网只读复跑，报告 `/app/artifacts/qa-flow/wecom-approval-compensation-poc-20260519T115944Z/summary.json` 为 `PASS_WITH_FINDINGS`；WREAD1F 新样例后，用户确认请假/补卡在企业微信消息卡片、列表和详情页均可看清，远端报告 `/app/artifacts/qa-flow/wecom-approval-readability-gate-20260519T133628Z/summary.json` 为 `PASS_READABLE`。WARCH1 已新增并部署请假/补卡最小审批历史留存：回调事件默认入 OA DB，补偿拉取可在 `--persist-to-db` + `WECOM_ARCHIVE_WRITE=1` 双开关下写 OA 留存，离线 runner 可不调用企微 API 读取已保存历史摘要；公网报告 `/app/artifacts/qa-flow/wecom-approval-compensation-poc-20260519T160306Z/summary.json` 和 `/app/artifacts/qa-flow/wecom-approval-archive-20260519T160330Z/summary.json` 均为 `PASS_WITH_FINDINGS`，2 条请假/补卡历史可离线读取，finding 是旧回调未入库历史 gap。WARCH2 已新增只读历史查询 API 和 PC/移动历史页：页面入口为“企微审批历史”，文案固定“企业微信主办，OA 自建留存”和“仅已归档记录”，只读 OA DB，不调用企微 API，不提供审批动作；权限按本人相关、直属下属和 HR/admin/* 分层，申请人未映射或 callback-only 记录仅 HR/admin/* 可见。WARCH3 已新增 07:30 systemd timer 巡检和脱敏企微告警；WOPS1 将默认告警收件员工号修正为 `HYD000006`，也就是管理员 `wangshunli` 的员工号，并把策略改为只在阻断、脚本失败、新增 finding 或状态恶化时发送，已知 observation 不重复告警。WCHECK1 已新增打卡规范化明细、日/月摘要和规则快照留存；WEXT1 已支持外出/加班 dry-run，但未 live 创建模板或审批单。巡检只允许补偿归档和打卡摘要写 OA 留存库，不写企业微信、不扩大真实员工。WREAL1-PREP 只准备真实小范围试用清单，当前不启用真实员工；三天巡检验收后先问答是否进入 WEXT1-LIVE 外出/加班测试号 live POC，四类测试号证据通过后才问是否启动真实小范围试用。同意单击即通过风险已进入归档审计事实，后续正式历史页和操作规程继续突出动作来源与补偿一致性。采购、费用、合同、项目、报销、付款、AP、代账交接和高敏附件继续 OA 主办，企业微信只做脱敏提醒和 OA deeplink。公网 `payment_batch_v1=force_on`，`erp_sync=force_off`。公司当前无 ERP/独立财务系统，且 ERP 未来不接入 OA；财务闭环以 OA 内审批、台账、付款批次、银行对公付款回单和月度代账交接为准。
+**当前状态（2026-05-20 / WOPS1/WROAD2-CLOSEOUT/WROAD2-BIZ1/WAPPR1/WREAL1-PREP 后）**：R7E、PRELAUNCH、财务闭环、ATTV1、HR-WECOM-DIRECTORY-V1、WAPI、WOUA-FIX、WRV1/WRA1、WMSG1、WAPC1/WAPC2、WPROC1/WPROC2、WAPC2F dry-run、WAPC2FLIVE、WCBK1、WEGOV1、WACP3/WACP3R、WREAD1/WREAD1F、WADM1、WARCH1 和 WARCH2 均已收口到当前开发阶段；WROAD2+OPS 已完成测试账号受控上线 Day 0 巡检，报告 `/app/artifacts/qa-flow/wroad2-ops-20260520-041941/summary.json` 为 `PASS_WITH_FINDINGS`；SYSTEM-COMPLETE-GATE 结论为 `GO_TO_USE`。WAPI 后固定企微 API 能力目录和 Secret 矩阵：通讯录使用 `WECOM_CONTACT_SECRET`，人事助手/打卡/消息/OAuth/审批读取使用 `WECOM_AGENT_SECRET`，运行时代码不得靠多个 Secret 试错。WAPC2FLIVE 已创建 OA-POC 请假/补卡测试模板和低风险测试审批单，报告 `/app/artifacts/qa-flow/wecom-approval-fixtures-20260519T053400Z/summary.json` 为 `PASS_FIXTURE_CREATED`，自动复跑 WAPC2 为 `PASS_APPROVAL_POC`；测试模板和审批记录保留审计，不自动删除。WCBK1 已部署只读回调端点和 runner，远端完成回调 URL 验证并收到一条由 `SMOKE101` 同意现有 OA-POC 补卡测试单触发的真实审批状态事件，报告 `/app/artifacts/qa-flow/wecom-approval-callback-poc-20260519T092648Z/summary.json` 为 `PASS_CALLBACK_EVENT_CONFIRMED`。WACP3R 已新增自动发现模板 ID 路径并公网只读复跑，报告 `/app/artifacts/qa-flow/wecom-approval-compensation-poc-20260519T115944Z/summary.json` 为 `PASS_WITH_FINDINGS`；WREAD1F 新样例后，用户确认请假/补卡在企业微信消息卡片、列表和详情页均可看清，远端报告 `/app/artifacts/qa-flow/wecom-approval-readability-gate-20260519T133628Z/summary.json` 为 `PASS_READABLE`。WARCH1 已新增并部署请假/补卡最小审批历史留存：回调事件默认入 OA DB，补偿拉取可在 `--persist-to-db` + `WECOM_ARCHIVE_WRITE=1` 双开关下写 OA 留存，离线 runner 可不调用企微 API 读取已保存历史摘要；公网报告 `/app/artifacts/qa-flow/wecom-approval-compensation-poc-20260519T160306Z/summary.json` 和 `/app/artifacts/qa-flow/wecom-approval-archive-20260519T160330Z/summary.json` 均为 `PASS_WITH_FINDINGS`，2 条请假/补卡历史可离线读取，finding 是旧回调未入库历史 gap。WARCH2 已新增只读历史查询 API 和 PC/移动历史页：页面入口为“企微审批历史”，文案固定“企业微信主办，OA 自建留存”和“仅已归档记录”，只读 OA DB，不调用企微 API，不提供审批动作；权限按本人相关、直属下属和 HR/admin/* 分层，申请人未映射或 callback-only 记录仅 HR/admin/* 可见。WARCH3 已新增 07:30 systemd timer 巡检和脱敏企微告警；WOPS1 将默认告警收件员工号修正为 `HYD000006`，也就是管理员 `wangshunli` 的员工号，并把策略改为只在阻断、脚本失败、新增 finding 或状态恶化时发送，已知 observation 不重复告警。WCHECK1 已新增打卡规范化明细、日/月摘要和规则快照留存；WEXT1 已支持外出/加班 dry-run，但未 live 创建模板或审批单。WROAD2-BIZ1 固定三天内补充测试账号人工业务冒烟：`SMOKE002` 打卡、请假、补卡，`SMOKE101` 先看详情再审批，`HYD000006` 查看 OA 归档历史和打卡摘要；WAPPR1 固定审批规则门禁，申请人不得任意选择审批人，正式模板必须自动带出审批人，缺审批人或自审时阻断。巡检只允许补偿归档和打卡摘要写 OA 留存库，不写企业微信、不扩大真实员工。WREAL1-PREP 只准备真实小范围试用清单，当前不启用真实员工；三天巡检、业务冒烟和审批规则门禁后先问答是否进入 WEXT1-LIVE 外出/加班测试号 live POC，四类测试号证据和 WAPPR1 通过后才问是否启动真实小范围试用。同意单击即通过风险已进入归档审计事实，后续正式历史页和操作规程继续突出动作来源与补偿一致性。采购、费用、合同、项目、报销、付款、AP、代账交接和高敏附件继续 OA 主办，企业微信只做脱敏提醒和 OA deeplink。公网 `payment_batch_v1=force_on`，`erp_sync=force_off`。公司当前无 ERP/独立财务系统，且 ERP 未来不接入 OA；财务闭环以 OA 内审批、台账、付款批次、银行对公付款回单和月度代账交接为准。

 ## 1. 适用范围
 - 适用于 `small_team_internal` 工作区模式。
@@ -205,7 +205,7 @@ WCP1/WCPC/WHMS 后续推进：
 2. WCP1 历史结论为 `PAUSE_FOR_CONFIG`；WCPC 已用既有在职测试号完成远端只读复跑，报告 `/tmp/wecom-capability-poc-wcpc-smoke002/summary.json`，结论 `GO_TO_HR_MASTER_SYNC`。
 3. WCPC 已证明 HR 主数据镜像准入项可用：通讯录成员读取、人事助手花名册读取、打卡短窗口记录/规则读取和假期余额读取均达到可复用状态；审批模板、审批实例和回调配置仍是后续考勤/审批镜像前置项。
 4. WHMS 已实现并部署验证 `wecom_hr_master_sync_v1`，包括同步批次、逐员工结果、dry-run/apply、People 管理入口和 QA-only runner；公网验证后最终保持 `force_off`。
-5. 正式开发仍按 `wecom_hr_master_sync_v1` -> `runtime_first_wecom_enablement` -> `WOUA-FIX / WECOM-RUNTIME-READY-V1` -> `WAPC1 审批配置准备` -> `WAPC2 请假/补卡只读 POC` -> `WAPC2F 自动生成 POC 样件` -> `WAPC2FLIVE live 创建与 WAPC2 自动复跑` -> `WCBK1 回调只读 POC` -> `WEGOV1 企微主办治理与自建留存路线修正` -> `WACP3/WACP3R 补偿拉取 POC` -> `WREAD1 审批可读性与误审批防护门禁` -> `WADM1 自建留存/镜像数据模型设计` -> `WARCH1 最小自建历史留存实现` -> `WARCH2 正式只读历史查询` -> `WROAD2+OPS 受控上线与每日巡检` -> `WARCH3 归档稳定化自动巡检` -> `WCHECK1 打卡摘要留存` -> `WEXT1 外出/加班 dry-run` -> `WOPS1 巡检告警降噪` -> `WROAD2-CLOSEOUT 三天验收` -> `WEXT1-LIVE 外出/加班测试号 live POC` -> `四类测试号证据通过后问答 WREAL1 小范围真实试用` -> `wecom_attendance_approval_mirror_v1` -> `oa_hr_emergency_mode_v1` -> `wecom_recovery_writeback_v1` -> `wecom_ruleops_v1` 分合同实施；WOUA-FIX 已收口测试账号差异和处理决策，WRV1/WRA1/WMSG1 已验证运行入口、OAuth/绑定、脱敏消息、Deeplink、通讯录、人事助手和打卡读取主链路。WAPC2FLIVE 已生成请假/补卡低风险样例，WCBK1 已证明真实审批回调 URL、验签/解密和事件脱敏留证，WACP3R 已证明请假/补卡补偿拉取和详情读取可用，WREAD1 已确认请假/补卡可读性，WADM1 已明确自建留存模型，WARCH1 已实现最小请假/补卡历史留存，WARCH2 已实现正式只读查询；后续仍不得跳过 WROAD2-CLOSEOUT、WEXT1-LIVE、WREAL1 问答或明确批准，直接进入深度考勤/审批镜像。
+5. 正式开发仍按 `wecom_hr_master_sync_v1` -> `runtime_first_wecom_enablement` -> `WOUA-FIX / WECOM-RUNTIME-READY-V1` -> `WAPC1 审批配置准备` -> `WAPC2 请假/补卡只读 POC` -> `WAPC2F 自动生成 POC 样件` -> `WAPC2FLIVE live 创建与 WAPC2 自动复跑` -> `WCBK1 回调只读 POC` -> `WEGOV1 企微主办治理与自建留存路线修正` -> `WACP3/WACP3R 补偿拉取 POC` -> `WREAD1 审批可读性与误审批防护门禁` -> `WADM1 自建留存/镜像数据模型设计` -> `WARCH1 最小自建历史留存实现` -> `WARCH2 正式只读历史查询` -> `WROAD2+OPS 受控上线与每日巡检` -> `WARCH3 归档稳定化自动巡检` -> `WCHECK1 打卡摘要留存` -> `WEXT1 外出/加班 dry-run` -> `WOPS1 巡检告警降噪` -> `WROAD2-CLOSEOUT 三天验收` -> `WROAD2-BIZ1 三天业务冒烟` -> `WAPPR1 审批规则规范化` -> `WEXT1-LIVE 外出/加班测试号 live POC` -> `四类测试号证据和审批规则门禁通过后问答 WREAL1 小范围真实试用` -> `wecom_attendance_approval_mirror_v1` -> `oa_hr_emergency_mode_v1` -> `wecom_recovery_writeback_v1` -> `wecom_ruleops_v1` 分合同实施；WOUA-FIX 已收口测试账号差异和处理决策，WRV1/WRA1/WMSG1 已验证运行入口、OAuth/绑定、脱敏消息、Deeplink、通讯录、人事助手和打卡读取主链路。WAPC2FLIVE 已生成请假/补卡低风险样例，WCBK1 已证明真实审批回调 URL、验签/解密和事件脱敏留证，WACP3R 已证明请假/补卡补偿拉取和详情读取可用，WREAD1 已确认请假/补卡可读性，WADM1 已明确自建留存模型，WARCH1 已实现最小请假/补卡历史留存，WARCH2 已实现正式只读查询；后续仍不得跳过 WROAD2-CLOSEOUT、WROAD2-BIZ1、WAPPR1、WEXT1-LIVE、WREAL1 问答或明确批准，直接进入深度考勤/审批镜像。
 6. 任何生产写接口、企微规则写入、应急模式开启或恢复回写都必须有单独批准、dry-run 或可审计记录。

 WCPC 配置复跑清单：
@@ -333,12 +333,14 @@ WROAD2/WARCH3 企微受控上线每日巡检：
 7. 告警命令为 `cd server && npm run send:wecom-ops-alert -- --summary-file=<summary.json> --send`，真实发送还需 `WARCH3_OPS_ALERT_SEND=1`；默认收件员工号为 `HYD000006`，消息只包含阶段、状态、finding 数、报告路径和下一步建议。
 8. WOPS1 后告警使用状态文件 `artifacts/qa-flow/warch3-ops-alert-state.json` 记忆上次状态和 finding 摘要；已知 `PASS_WITH_FINDINGS` 或 observation 不重复发消息，只有 `SKIP/BLOCKED_BY_EXTERNAL_CONFIG`、脚本失败、新增 finding、状态恶化或人工 `--force` 才发送。
 9. WCHECK1 打卡摘要命令：`cd server && npm run check:wecom-checkin-summary-archive -- --offline --format=json`；如要写 OA 留存，必须 `WECOM_CHECKIN_ARCHIVE_WRITE=1` 且带 `--live --persist-to-db`。
-10. WEXT1 外出/加班 dry-run：`cd server && npm run check:wecom-approval-fixtures -- --format=json --target=outing --target=overtime`；live 创建必须等 WROAD2-CLOSEOUT 三天验收后另起 `WEXT1-LIVE` 合同，并再次说明状态、测试结果、企微留痕和清理/保留边界后人工确认。
-11. WEXT1-LIVE 已锁定为外出+加班两类一起创建 OA-POC 测试模板和低风险审批单，固定 `SMOKE002 -> SMOKE101`、`WECOM_AGENT_SECRET` 和双开关；样件保留审计，由 `SMOKE101` 真机确认消息卡片、列表、详情页和按钮风险。
-12. Day 0 公网报告为 `/app/artifacts/qa-flow/wroad2-ops-20260520-041941/summary.json`，结论 `PASS_WITH_FINDINGS`：企微 runtime、补偿归档、离线归档读取和隐私扫描通过；finding 为缺 live smoke 登录凭据/pending OCR 子检查异常以及历史 callback gap，不阻断测试账号受控试用。
-13. WROAD2-CLOSEOUT 三天结束后再做人工问答：进入 WEXT1-LIVE、先处理指定 finding、或暂停；未确认前不启用真实员工，不创建外出/加班 live 样件。
-14. WREAL1-PREP 当前只准备清单，不要求提供真实员工；后续真实试用必须等请假、补卡、外出、加班四类测试号证据通过后再问，默认仍从 1 名真实员工 + 1 名审批人/管理员观察开始。
-15. 完整镜像、应急接管、恢复回写、RuleOps、图片 OCR、复杂 BPM、预算、ERP 和银行流水导入继续冻结；镜像必须等真实小范围试用通过后再规划。
+10. WEXT1 外出/加班 dry-run：`cd server && npm run check:wecom-approval-fixtures -- --format=json --target=outing --target=overtime`；live 创建必须另起 `WEXT1-LIVE` 合同，并再次说明状态、测试结果、企微留痕和清理/保留边界后人工确认。
+11. WROAD2-BIZ1 三天人工业务冒烟：`SMOKE002` 每天按企微规则尝试上/下班打卡，提交低风险请假和补卡；`SMOKE101` 每条审批必须先打开详情再同意或驳回；`HYD000006` 每天查看 OA 企微审批归档历史和打卡摘要。无法打卡、无法审批或仍需手动选择审批人时，按 finding 记录，不伪造成通过。
+12. WAPPR1 审批规则规范化：测试模板固定 `SMOKE002 -> SMOKE101`；正式请假、补卡、外出、加班模板必须按直属主管、部门负责人或指定审批角色自动带出审批人。申请人不得任意选择审批人；审批人缺失、停用、未绑定、不可见或自审时，必须阻断或暂停真实试用。
+13. WEXT1-LIVE 已锁定为外出+加班两类一起创建 OA-POC 测试模板和低风险审批单，固定 `SMOKE002 -> SMOKE101`、`WECOM_AGENT_SECRET` 和双开关；样件保留审计，由 `SMOKE101` 真机确认消息卡片、列表、详情页、按钮风险和审批人是否自动带出。
+14. Day 0 公网报告为 `/app/artifacts/qa-flow/wroad2-ops-20260520-041941/summary.json`，结论 `PASS_WITH_FINDINGS`：企微 runtime、补偿归档、离线归档读取和隐私扫描通过；finding 为缺 live smoke 登录凭据/pending OCR 子检查异常以及历史 callback gap，不阻断测试账号受控试用。
+15. WROAD2-CLOSEOUT/WROAD2-BIZ1/WAPPR1 三天结束后再做人工问答：进入 WEXT1-LIVE、先处理指定 finding、或暂停；未确认前不启用真实员工，不创建外出/加班 live 样件。
+16. WREAL1-PREP 当前只准备清单，不要求提供真实员工；后续真实试用必须等请假、补卡、外出、加班四类测试号证据和 WAPPR1 审批规则门禁通过后再问，默认仍从 1 名真实员工 + 1 名审批人/管理员观察开始。
+17. 完整镜像、应急接管、恢复回写、RuleOps、图片 OCR、复杂 BPM、预算、ERP 和银行流水导入继续冻结；镜像必须等真实小范围试用通过后再规划。

 问题登记最小字段：

@@ -6,7 +6,7 @@
 **上级事实源**：[海音达OA-MVP需求规格说明书](./海音达OA-MVP需求规格说明书.md)
 **相关事实源**：[需求 - 统一审批中心规约](./需求-统一审批中心规约.md)、[企微 API 能力目录](./企微API能力目录.md)

-本规约细化企业微信在 `hyb-oa` 中的基础设施边界、入口、免登/绑定、通讯录身份、消息通知、deeplink、打卡、人事助手、原生审批、OA 自建留存、OA 镜像、人工接管和恢复回写要求。WFOC 起产品方向调整为“企微优先 + OA 无痛接管”；DBWFOC 后进一步固定为：HR/考勤员工日常审批优先使用企业微信，OA 做按域镜像、备份接管、财务闭环和审计中台；采购、合同、项目、财务和高敏附件继续由 OA 主办。WAPI 后，所有企微相关开发必须先读取本规约和 [企微 API 能力目录](./企微API能力目录.md)，确认官方 API、Secret、权限、可信 IP、回调/模板和读写边界，再拆 Issue CSV。WMSG1 已证明企业微信应用消息和 Deeplink 真机回流可用；WAPC1 后审批进入配置准备清单，WAPC2 后先做请假/补卡模板详情与低风险 `sp_no` 只读 POC；WAPC2F 已实现 OA-POC 样件 dry-run 并公网验证 `PASS_FIXTURE_DRY_RUN_READY`。WAPC2FLIVE 已在用户批准后创建 OA-POC 请假/补卡测试模板和低风险测试审批单，自动复跑 WAPC2 为 `PASS_APPROVAL_POC`。WCBK1 已完成真实回调 URL 验证和一条现有 OA-POC 测试审批单事件确认，公网结论 `PASS_CALLBACK_EVENT_CONFIRMED`。WEGOV1 后固定“企微主办 HR/考勤成熟能力，OA 保存关键历史和外部关联键”的路线。WACP3R 已自动发现 OA-POC 请假/补卡模板并完成公网补偿拉取复跑，报告为 `PASS_WITH_FINDINGS`；补偿拉取和详情读取可用，当时 finding 为回调证据文件未持久化。WREAD1F 后，用户真机确认请假/补卡审批卡片、列表和详情页可读，远端报告为 `PASS_READABLE`；同意单击即通过作为操作风险进入后续设计。WADM1 已完成自建留存/镜像数据模型设计，WARCH1 已创建最小审批留存迁移和运行时入库路径，WARCH2 已提供 OA DB 正式只读查询 API 和 PC/移动历史页。WROAD2 后先做测试账号受控上线和每日巡检；WARCH3 已新增服务器 07:30 systemd timer 和脱敏企微告警；WCHECK1 已新增打卡摘要留存；WEXT1 已新增外出/加班 dry-run；WOPS1 已完成告警降噪。后续先等 WROAD2-CLOSEOUT 三天验收，再问答进入 WEXT1-LIVE 外出/加班测试号 live POC；四类测试号证据通过前不问真实员工试用，不直接进入完整审批镜像、应急接管、恢复回写或 RuleOps。
+本规约细化企业微信在 `hyb-oa` 中的基础设施边界、入口、免登/绑定、通讯录身份、消息通知、deeplink、打卡、人事助手、原生审批、OA 自建留存、OA 镜像、人工接管和恢复回写要求。WFOC 起产品方向调整为“企微优先 + OA 无痛接管”；DBWFOC 后进一步固定为：HR/考勤员工日常审批优先使用企业微信，OA 做按域镜像、备份接管、财务闭环和审计中台；采购、合同、项目、财务和高敏附件继续由 OA 主办。WAPI 后，所有企微相关开发必须先读取本规约和 [企微 API 能力目录](./企微API能力目录.md)，确认官方 API、Secret、权限、可信 IP、回调/模板和读写边界，再拆 Issue CSV。WMSG1 已证明企业微信应用消息和 Deeplink 真机回流可用；WAPC1 后审批进入配置准备清单，WAPC2 后先做请假/补卡模板详情与低风险 `sp_no` 只读 POC；WAPC2F 已实现 OA-POC 样件 dry-run并公网验证 `PASS_FIXTURE_DRY_RUN_READY`。WAPC2FLIVE 已在用户批准后创建 OA-POC 请假/补卡测试模板和低风险测试审批单，自动复跑 WAPC2 为 `PASS_APPROVAL_POC`。WCBK1 已完成真实回调 URL 验证和一条现有 OA-POC 测试审批单事件确认，公网结论 `PASS_CALLBACK_EVENT_CONFIRMED`。WEGOV1 后固定“企微主办 HR/考勤成熟能力，OA 保存关键历史和外部关联键”的路线。WACP3R 已自动发现 OA-POC 请假/补卡模板并完成公网补偿拉取复跑，报告为 `PASS_WITH_FINDINGS`；补偿拉取和详情读取可用，当时 finding 为回调证据文件未持久化。WREAD1F 后，用户真机确认请假/补卡审批卡片、列表和详情页可读，远端报告为 `PASS_READABLE`；同意单击即通过作为操作风险进入后续设计。WADM1 已完成自建留存/镜像数据模型设计，WARCH1 已创建最小审批留存迁移和运行时入库路径，WARCH2 已提供 OA DB 正式只读查询 API 和 PC/移动历史页。WROAD2 后先做测试账号受控上线和每日巡检；WARCH3 已新增服务器 07:30 systemd timer 和脱敏企微告警；WCHECK1 已新增打卡摘要留存；WEXT1 已新增外出/加班 dry-run；WOPS1 已完成告警降噪。WROAD2-BIZ1 在三天内补充测试账号打卡、请假、补卡和 OA 离线查看人工业务冒烟；WAPPR1 把审批规则规范化列为真实试用前门禁，申请人不得任意选择审批人，正式模板必须自动带出审批人。后续先等 WROAD2-CLOSEOUT/WROAD2-BIZ1/WAPPR1 结果，再问答进入 WEXT1-LIVE 外出/加班测试号 live POC；四类测试号证据和审批规则门禁通过前不问真实员工试用，不直接进入完整审批镜像、应急接管、恢复回写或 RuleOps。

 ---

@@ -36,7 +36,7 @@
 | 通讯录 | 成员创建、读取、更新、禁用或删除 | 近期已验证 OA 写企微；后续改为企微主源同步 OA，OA 保留修复和审计 | `CAN_REUSE_NOW`：HCLT create/update/disable、部门读取和 WCPC 既有在职测试号 `contact.member_read` 均已通过 |
 | 人事助手 | 员工字段配置、花名册读取、花名册更新 | 作为员工主数据源，驱动 OA 员工、账号、角色、绑定和状态镜像 | `LOCAL_IMPLEMENTED_FOR_READ_SYNC`：字段配置和既有在职测试号花名册读取已通过；WHMS 已本地实现只读同步到 OA；资料更新写接口仍需单独 POC |
 | 打卡 | 打卡记录、员工规则、日报、月报、排班、补卡、规则管理 | 企微主办规则和采集，OA 同步按域镜像和应急对账 | `CAN_REUSE_NOW_FOR_READ`：WCPC 短窗口打卡记录和规则读取通过；日报/月报/排班等细项留到考勤镜像合同继续验证 |
-| 审批 | 模板详情、提交审批、审批状态回调、审批详情、模板创建/更新、批量获取审批单号、假期余额 | HR/考勤员工日常审批企微主办，OA 同步镜像；OA 主办财务、采购、合同、项目和报销审批不迁移 | `WARCH3/WEXT1_CONTROLLED_OPS`：WAPC2FLIVE 已创建请假/补卡 OA-POC 样件并复跑通过；WCBK1 已证明审批状态回调 URL 验证、验签、解密和真实事件脱敏留证；WACP3R 已通过 `getapprovalinfo` 自动发现模板并拉取请假/补卡详情；WARCH1 已补齐回调事件、补偿拉取和对账 finding 的最小 OA 自建留存；WARCH2 已提供只读历史查询；WARCH3 已自动巡检和告警；WEXT1 只完成外出/加班 dry-run。完整镜像、外出/加班 live、应急接管和恢复回写仍需后续合同 |
+| 审批 | 模板详情、提交审批、审批状态回调、审批详情、模板创建/更新、批量获取审批单号、假期余额 | HR/考勤员工日常审批企微主办，OA 同步镜像；OA 主办财务、采购、合同、项目和报销审批不迁移 | `WARCH3/WEXT1_CONTROLLED_OPS`：WAPC2FLIVE 已创建请假/补卡 OA-POC 样件并复跑通过；WCBK1 已证明审批状态回调 URL 验证、验签、解密和真实事件脱敏留证；WACP3R 已通过 `getapprovalinfo` 自动发现模板并拉取请假/补卡详情；WARCH1 已补齐回调事件、补偿拉取和对账 finding 的最小 OA 自建留存；WARCH2 已提供只读历史查询；WARCH3 已自动巡检和告警；WROAD2-BIZ1 补充人工业务冒烟；WAPPR1 固定自动审批人规则门禁；WEXT1 只完成外出/加班 dry-run。完整镜像、外出/加班 live、真实试用、应急接管和恢复回写仍需后续合同 |
 | 工作台和消息 | 自建应用入口、应用消息、deeplink | 继续作为 OA 移动入口和通知渠道 | `CAN_REUSE_NOW`；WRV1 新增 `check:wecom-runtime-ready` 对入口、OAuth、脱敏消息 dry-run 和 deeplink 做运行就绪门禁 |
 | 财务/报销 | 企微不提供本项目需要的 PDF OCR、付款批次、银行回单和代账闭环 | OA 主办 | `KEEP_OA_PRIMARY` |
 | 真实支付、ERP、图片 OCR、银行流水导入 | 非本路线目标 | 不进入当前路线 | `NOT_IN_SCOPE` |
@@ -235,9 +235,9 @@ REQAUD 复核后，ATTV1 已完成统一入口实现，企业微信打卡边界
 ## 7.8 WDRG 开发路线图门禁

 - WDRG 后，企业微信相关运行时迁移采用“路线图门禁 + 单功能 Issue CSV”，路线图事实源为 [企微优先开发路线图](./企微优先开发路线图.md)。
- WROAD2 后阶段顺序调整为 `WECOM-CAPABILITY-POC-V1` -> `wecom_hr_master_sync_v1` -> `runtime_first_wecom_enablement` -> `WOUA-FIX / WECOM-RUNTIME-READY-V1` -> `WAPC1 审批配置准备` -> `WAPC2 请假/补卡只读 POC` -> `WAPC2F 自动生成 POC 样件` -> `WAPC2FLIVE live 创建与 WAPC2 自动复跑` -> `WCBK1 回调只读 POC` -> `WEGOV1 企微主办治理与自建留存路线修正` -> `WACP3/WACP3R 补偿拉取 POC` -> `WREAD1 审批可读性与误审批防护门禁` -> `WADM1 自建留存/镜像数据模型设计` -> `WARCH1 最小自建历史留存实现` -> `WARCH2 正式只读历史查询` -> `WROAD2+OPS 受控上线与每日巡检` -> `WARCH3 归档稳定化自动巡检` -> `WCHECK1 打卡摘要留存` -> `WEXT1 外出/加班 dry-run` -> `WOPS1 巡检告警降噪` -> `WROAD2-CLOSEOUT 三天验收` -> `WEXT1-LIVE 外出/加班测试号 live POC` -> `WREAL1 小范围真实试用` -> `wecom_attendance_approval_mirror_v1` -> `oa_hr_emergency_mode_v1` -> `wecom_recovery_writeback_v1` -> `wecom_ruleops_v1`；其中 WREAL1 只能在请假、补卡、外出、加班四类测试号证据通过后再问答启动。
+- WROAD2 后阶段顺序调整为 `WECOM-CAPABILITY-POC-V1` -> `wecom_hr_master_sync_v1` -> `runtime_first_wecom_enablement` -> `WOUA-FIX / WECOM-RUNTIME-READY-V1` -> `WAPC1 审批配置准备` -> `WAPC2 请假/补卡只读 POC` -> `WAPC2F 自动生成 POC 样件` -> `WAPC2FLIVE live 创建与 WAPC2 自动复跑` -> `WCBK1 回调只读 POC` -> `WEGOV1 企微主办治理与自建留存路线修正` -> `WACP3/WACP3R 补偿拉取 POC` -> `WREAD1 审批可读性与误审批防护门禁` -> `WADM1 自建留存/镜像数据模型设计` -> `WARCH1 最小自建历史留存实现` -> `WARCH2 正式只读历史查询` -> `WROAD2+OPS 受控上线与每日巡检` -> `WARCH3 归档稳定化自动巡检` -> `WCHECK1 打卡摘要留存` -> `WEXT1 外出/加班 dry-run` -> `WOPS1 巡检告警降噪` -> `WROAD2-CLOSEOUT 三天验收` -> `WROAD2-BIZ1 三天业务冒烟` -> `WAPPR1 审批规则规范化` -> `WEXT1-LIVE 外出/加班测试号 live POC` -> `WREAL1 小范围真实试用` -> `wecom_attendance_approval_mirror_v1` -> `oa_hr_emergency_mode_v1` -> `wecom_recovery_writeback_v1` -> `wecom_ruleops_v1`；其中 WREAL1 只能在请假、补卡、外出、加班四类测试号证据和审批规则门禁通过后再问答启动。
 - `WECOM-CAPABILITY-POC-V1` 已由 WCPC 收口，WHMS/WHMSLIVE 已完成 HR 主数据镜像实现和受控公网验证；后续不得跳过运行优先门禁和 WOUA 差异处理决策直接开发企微 HR/考勤审批镜像、OA 应急接管、恢复回写或 RuleOps 正式写入。
- 运行优先阶段先利用入口、免登/绑定、脱敏消息、deeplink、通讯录 userid 清单、人事助手花名册读取和打卡读取；WOUA-FIX 已按用户确认软归档 7 个缺企微测试账号，复检 `oaActiveMissingInWecom=0`；剩余企微缺字段先接受不补，归档测试绑定保留审计。WRV1 用 `server/src/scripts/check-wecom-runtime-ready.js` 固化运行优先门禁，WRA1 修正 QA-only 打卡只读门禁，WMSG1 完成真实消息和 Deeplink 真机确认。报告结论只能是 `PASS_RUNTIME_READY`、`PASS_WITH_CONFIG_GAPS` 或 `SKIP/BLOCKED_BY_EXTERNAL_CONFIG`。该结论仍不能直接放行深度镜像，深度考勤/审批镜像需在 WAPC1、WAPC2、WAPC2F/WAPC2FLIVE、WCBK1、WEGOV1、WACP3、WREAD1、WADM1、WARCH1、WARCH2、WROAD2+OPS、WARCH3、WCHECK1、WEXT1、WROAD2-CLOSEOUT、WEXT1-LIVE 和 WREAL1 或明确批准后再拆。
+- 运行优先阶段先利用入口、免登/绑定、脱敏消息、deeplink、通讯录 userid 清单、人事助手花名册读取和打卡读取；WOUA-FIX 已按用户确认软归档 7 个缺企微测试账号，复检 `oaActiveMissingInWecom=0`；剩余企微缺字段先接受不补，归档测试绑定保留审计。WRV1 用 `server/src/scripts/check-wecom-runtime-ready.js` 固化运行优先门禁，WRA1 修正 QA-only 打卡只读门禁，WMSG1 完成真实消息和 Deeplink 真机确认。报告结论只能是 `PASS_RUNTIME_READY`、`PASS_WITH_CONFIG_GAPS` 或 `SKIP/BLOCKED_BY_EXTERNAL_CONFIG`。该结论仍不能直接放行深度镜像，深度考勤/审批镜像需在 WAPC1、WAPC2、WAPC2F/WAPC2FLIVE、WCBK1、WEGOV1、WACP3、WREAD1、WADM1、WARCH1、WARCH2、WROAD2+OPS、WARCH3、WCHECK1、WEXT1、WROAD2-CLOSEOUT、WROAD2-BIZ1、WAPPR1、WEXT1-LIVE 和 WREAL1 或明确批准后再拆。
 - WAPC2F 自动样件默认申请人 `SMOKE002`、审批人 `SMOKE101`；两者必须 active、已绑定企微、可见、不是同一 OA 员工且不是同一企微 userid。`SMOKE101` 不可用时不自动换人，返回配置缺口并问答确认。
 - 线上缺陷、正式使用阻断、真实反馈扫尾和 QA-only 脚本维护可另开合同并行；采购、合同、报销、付款、AP、代账和高敏附件继续 OA 主办，不混入企微 HR/考勤路线。
 - 本路线图只代表开发节奏和门禁，不代表任何企微 HR/考勤镜像、OA 应急接管、恢复回写或 RuleOps 运行时能力已完成。
@@ -355,7 +355,7 @@ WF8-3、WF8-4、WF8-5 实现前必须基于本设计给技术方案；实现后
 - 采购单附件、合同正文、报价、供应商资料、发票、银行回单、代账资料和其他高敏附件不进入企业微信原生审批或企业微信附件；企业微信只做提醒、deeplink 和免登录回流。
 - 按域镜像是默认规则：企微主办 HR/考勤域镜像到 OA；OA 主办采购、合同、项目、财务和报销域不反向全量镜像到企微。
 - WFDG 后，审批相关页面和接口必须区分 `OA 主办`、`企微镜像` 和 `OA 应急接管`；企微镜像不得被误用为 OA 日常新建入口，OA 应急接管单据必须带 `EMERGENCY` 并进入恢复回写队列。
- WAPI/WRRA/WOUA-FIX/WAPC1/WAPC2/WPROC1/WEGOV1 后，审批相关运行时迁移必须先读 [企微优先开发路线图](./企微优先开发路线图.md) 和 [企微 API 能力目录](./企微API能力目录.md)，按 `wecom_hr_master_sync_v1` -> `runtime_first_wecom_enablement` -> `WOUA-FIX / WECOM-RUNTIME-READY-V1` -> `WAPC1 审批配置准备` -> `WAPC2 请假/补卡只读 POC` -> `WAPC2F 自动生成 POC 样件` -> `WAPC2FLIVE live 创建与 WAPC2 自动复跑` -> `WCBK1 回调只读 POC` -> `WEGOV1 企微主办治理与自建留存路线修正` -> `WACP3/WACP3R 补偿拉取 POC` -> `WREAD1 审批可读性与误审批防护门禁` -> `WADM1 自建留存/镜像数据模型设计` -> `WARCH1 最小自建历史留存实现` -> `WARCH2 正式只读历史查询` -> `WROAD2+OPS 受控上线与每日巡检` -> `WARCH3 归档稳定化自动巡检` -> `WCHECK1 打卡摘要留存` -> `WEXT1 外出/加班 dry-run` -> `WOPS1 巡检告警降噪` -> `WROAD2-CLOSEOUT 三天验收` -> `WEXT1-LIVE 外出/加班测试号 live POC` -> `四类测试号证据通过后问答 WREAL1 小范围真实试用` -> `wecom_attendance_approval_mirror_v1` -> `oa_hr_emergency_mode_v1` -> `wecom_recovery_writeback_v1` 的顺序拆单功能 Issue CSV；WOUA-FIX 只收口了用户一致性测试账号差异和处理决策，WRV1/WRA1/WMSG1 只验证入口、OAuth/绑定、脱敏消息、deeplink、通讯录、人事助手、打卡只读主链路和真实消息回流。WAPC1 只固化审批配置准备清单；WAPC2 只读模板详情和低风险 `sp_no` 审批详情；WAPC2FLIVE 只生成 OA-POC 低风险测试样件并自动复跑只读 POC；WCBK1 只证明真实审批状态回调可验签、可解密、可脱敏留证；WACP3R 只证明补偿拉取和详情读取可用，并发现回调证据文件未持久化；WEGOV1 只修正混合主办、自建留存和测试治理口径；WREAD1 只证明请假/补卡当前样例可读；WADM1 只完成模型设计；WARCH1 已实现请假/补卡最小历史留存；WARCH2 只提供只读查询 API 和历史页；WEXT1 只完成外出/加班 dry-run，WEXT1-LIVE 写入前必须另建合同并再次人工确认。完整企微审批镜像、恢复回写、应急接管和 RuleOps 仍必须另拆合同，不得用 WARCH1/WARCH2 或测试号证据直接放行。
+- WAPI/WRRA/WOUA-FIX/WAPC1/WAPC2/WPROC1/WEGOV1 后，审批相关运行时迁移必须先读 [企微优先开发路线图](./企微优先开发路线图.md) 和 [企微 API 能力目录](./企微API能力目录.md)，按 `wecom_hr_master_sync_v1` -> `runtime_first_wecom_enablement` -> `WOUA-FIX / WECOM-RUNTIME-READY-V1` -> `WAPC1 审批配置准备` -> `WAPC2 请假/补卡只读 POC` -> `WAPC2F 自动生成 POC 样件` -> `WAPC2FLIVE live 创建与 WAPC2 自动复跑` -> `WCBK1 回调只读 POC` -> `WEGOV1 企微主办治理与自建留存路线修正` -> `WACP3/WACP3R 补偿拉取 POC` -> `WREAD1 审批可读性与误审批防护门禁` -> `WADM1 自建留存/镜像数据模型设计` -> `WARCH1 最小自建历史留存实现` -> `WARCH2 正式只读历史查询` -> `WROAD2+OPS 受控上线与每日巡检` -> `WARCH3 归档稳定化自动巡检` -> `WCHECK1 打卡摘要留存` -> `WEXT1 外出/加班 dry-run` -> `WOPS1 巡检告警降噪` -> `WROAD2-CLOSEOUT 三天验收` -> `WROAD2-BIZ1 三天业务冒烟` -> `WAPPR1 审批规则规范化` -> `WEXT1-LIVE 外出/加班测试号 live POC` -> `四类测试号证据和审批规则门禁通过后问答 WREAL1 小范围真实试用` -> `wecom_attendance_approval_mirror_v1` -> `oa_hr_emergency_mode_v1` -> `wecom_recovery_writeback_v1` 的顺序拆单功能 Issue CSV；WOUA-FIX 只收口了用户一致性测试账号差异和处理决策，WRV1/WRA1/WMSG1 只验证入口、OAuth/绑定、脱敏消息、deeplink、通讯录、人事助手、打卡只读主链路和真实消息回流。WAPC1 只固化审批配置准备清单；WAPC2 只读模板详情和低风险 `sp_no` 审批详情；WAPC2FLIVE 只生成 OA-POC 低风险测试样件并自动复跑只读 POC；WCBK1 只证明真实审批状态回调可验签、可解密、可脱敏留证；WACP3R 只证明补偿拉取和详情读取可用，并发现回调证据文件未持久化；WEGOV1 只修正混合主办、自建留存和测试治理口径；WREAD1 只证明请假/补卡当前样例可读；WADM1 只完成模型设计；WARCH1 已实现请假/补卡最小历史留存；WARCH2 只提供只读查询 API 和历史页；WEXT1 只完成外出/加班 dry-run；WROAD2-BIZ1 只补充测试账号人工业务冒烟清单；WAPPR1 将申请人任意选择审批人列为真实试用前阻断 finding；WEXT1-LIVE 写入前必须另建合同并再次人工确认。完整企微审批镜像、恢复回写、应急接管和 RuleOps 仍必须另拆合同，不得用 WARCH1/WARCH2 或测试号证据直接放行。
 - WRV1/WRA1 runner `npm run check:wecom-runtime-ready` 中的审批模板、测试 `sp_no` 和真实回调检查只允许输出 `NEEDS_CONFIG`；这类缺口不阻断运行优先主链路的 `PASS_WITH_CONFIG_GAPS`，但必须阻断 `wecom_attendance_approval_mirror_v1`、应急恢复回写和 RuleOps。`WECOM_CHECKIN_SYNC_ENABLED` 只控制正式考勤同步批次，不阻断 QA-only 打卡只读能力探测。
 - WMSG1 已证明企业微信应用消息可达和 Deeplink 可进入 OA 通知页；该证据只清除通知链路，不清除审批模板、测试 `sp_no` 或真实回调前置。WAPC1 固化配置准备清单后，WAPC2 先提供请假/补卡模板详情和低风险审批详情只读 POC；WPROC1 后优先用 WAPC2F 自动生成 POC 样件，不默认要求人工手动创建模板或测试单。人工介入限于写入批准、密钥/回调配置、企微后台无法 API 化配置、真机确认和风险拍板。
 - 后续企微审批同步的 POC 必须输出 `CAN_REUSE_NOW`、`NEEDS_CONFIG`、`NEEDS_API_POC`、`KEEP_OA_PRIMARY`、`NOT_SUPPORTED_BY_API`，缺模板、回调、Secret 或权限时记录 `SKIP/BLOCKED_BY_EXTERNAL_CONFIG`。
@@ -410,6 +410,16 @@ WAPC2F 是 WAPC2 后的自动化优先补缺阶段，目标是尽量用 QA-only
 - live 写入必须有显式 CLI 参数 `--live --create-templates --submit-test-approvals` 和单次进程环境变量 `WECOM_APPROVAL_FIXTURE_WRITE=1`，默认 dry-run 不获取写入 token、不调用企微写接口。
 - 报告只保存脱敏模板 ID/`sp_no` 前缀、计数、状态和错误分类，不保存完整 `sp_no`、表单值、附件、评论、完整 userid、Secret、token 或原始 payload。

+### 9.3.1 WAPPR1 企微审批规则规范化门禁
+
+WAPPR1 承接 WROAD2 期间发现的补卡申请仍需申请人手动选择审批人风险。企微主办不等于放开自由流；HR/考勤审批进入真实试用前，必须先证明审批人规则自动化、非自审且可审计。
+
+- 测试模板固定为 `SMOKE002 -> SMOKE101`，申请人不得选择自己，`SMOKE101` 不可用时不自动换人。
+- 正式请假、补卡、外出、加班模板必须按直属主管、部门负责人或指定审批角色自动带出审批人，不允许申请人任意选择审批人。
+- 审批人缺失、停用、未绑定企微、不可见、主管链断裂或命中申请人本人时，必须阻断提交或阻断进入真实试用。
+- 结论按模板分别记录：`PASS_APPROVER_RULES_READY`、`PASS_WITH_TEMPLATE_ADJUSTMENTS`、`FAIL_KEEP_OA_PRIMARY_FOR_THIS_TEMPLATE` 或 `SKIP/BLOCKED_BY_EXTERNAL_CONFIG`。
+- 如果企微模板能力或后台配置暂时无法做到自动审批人规则，对应模板继续保持测试账号 POC 或 OA 主办，不进入 WREAL1 真实员工试用。
+
 ### 9.4 WEGOV1 / WACP3 / WREAD1 / WADM1 / WARCH1 前置门禁

 在 `wecom_attendance_approval_mirror_v1` 前必须补齐治理、POC、真机和数据模型门禁：
@@ -7,7 +7,7 @@
 **相关事实源**：[需求 - 统一审批中心规约](./需求-统一审批中心规约.md)、[需求 - 企业微信基础设施规约](./需求-企业微信基础设施规约.md)
 **体验总依据**：[产品设计规则基线](./产品设计规则.md)

-本规约细化请假、补卡、外出、加班与考勤修正的产品要求。WFOC 起，企业微信作为 HR/考勤员工日常审批和打卡规则主操作端；OA 负责按域镜像、应急接管、恢复回写、查询导出和审计。WEGOV1 后进一步明确：企微成熟 HR/考勤功能优先上线，OA 不重造企业微信完整打卡/考勤/HR 产品，但必须做自建历史留存、审计、入口、消息和应急兜底。WAPC2 后，请假和补卡先通过 QA-only runner 只读验证模板详情与低风险 `sp_no` 审批详情；WAPC2FLIVE 已生成 OA-POC 样件并复跑通过；WCBK1 已完成真实回调 URL 验证和一条测试审批事件确认；WACP3R 已自动发现模板并证明补偿拉取和详情读取可用。WREAD1F 后，用户真机确认请假/补卡在企业微信消息卡片、列表和详情页均可看清，远端报告 `/app/artifacts/qa-flow/wecom-approval-readability-gate-20260519T133628Z/summary.json` 为 `PASS_READABLE`；驳回有二次确认，同意单击即通过。WARCH1 已实现请假/补卡最小审批历史留存、回调事件入库、补偿拉取入库和离线读取证明；WARCH2 已提供正式只读历史查询。WROAD2 后进入测试账号受控上线；WARCH3 已新增 07:30 systemd 自动巡检和脱敏企微告警；WCHECK1 已新增打卡规范化明细、日/月摘要和规则快照留存；WEXT1 已支持外出/加班 dry-run，但未 live 创建模板或审批单。WOPS1 后告警默认发给 `HYD000006`（`wangshunli` 的员工号）且只报新增异常；WROAD2-CLOSEOUT 三天验收完成前不启用真实员工；验收后先问答是否进入 WEXT1-LIVE 外出/加班测试号 live POC；四类测试号证据通过后才问真实小范围试用。当前仍不代表完整审批镜像、外出/加班正式样件、应急接管或恢复回写已实现。PC 和移动页面体验以产品设计规则基线为依据，不重复定义通用审批链和移动导航规则。
+本规约细化请假、补卡、外出、加班与考勤修正的产品要求。WFOC 起，企业微信作为 HR/考勤员工日常审批和打卡规则主操作端；OA 负责按域镜像、应急接管、恢复回写、查询导出和审计。WEGOV1 后进一步明确：企微成熟 HR/考勤功能优先上线，OA 不重造企业微信完整打卡/考勤/HR 产品，但必须做自建历史留存、审计、入口、消息和应急兜底。WAPC2 后，请假和补卡先通过 QA-only runner 只读验证模板详情与低风险 `sp_no` 审批详情；WAPC2FLIVE 已生成 OA-POC 样件并复跑通过；WCBK1 已完成真实回调 URL 验证和一条测试审批事件确认；WACP3R 已自动发现模板并证明补偿拉取和详情读取可用。WREAD1F 后，用户真机确认请假/补卡在企业微信消息卡片、列表和详情页均可看清，远端报告 `/app/artifacts/qa-flow/wecom-approval-readability-gate-20260519T133628Z/summary.json` 为 `PASS_READABLE`；驳回有二次确认，同意单击即通过。WARCH1 已实现请假/补卡最小审批历史留存、回调事件入库、补偿拉取入库和离线读取证明；WARCH2 已提供正式只读历史查询。WROAD2 后进入测试账号受控上线；WARCH3 已新增 07:30 systemd 自动巡检和脱敏企微告警；WCHECK1 已新增打卡规范化明细、日/月摘要和规则快照留存；WEXT1 已支持外出/加班 dry-run，但未 live 创建模板或审批单。WOPS1 后告警默认发给 `HYD000006`（`wangshunli` 的员工号）且只报新增异常；WROAD2-BIZ1 在三天内补充测试账号打卡、请假、补卡和 OA 离线查看人工业务冒烟；WAPPR1 把“申请人不得任意选择审批人、必须自动带出审批人、禁止自审”列为真实试用前门禁。WROAD2-CLOSEOUT/WROAD2-BIZ1/WAPPR1 完成前不启用真实员工；外出/加班 live 仍需 WEXT1-LIVE 独立合同和人工确认；四类测试号证据与审批规则门禁通过后才问真实小范围试用。当前仍不代表完整审批镜像、外出/加班正式样件、应急接管或恢复回写已实现。PC 和移动页面体验以产品设计规则基线为依据，不重复定义通用审批链和移动导航规则。

 ---

@@ -49,7 +49,7 @@ REQAUD 复核后，ATTV1 已完成统一入口实现，当前运行时完成度
 | 请假对团队状态/日历的影响 | `DONE` | 已批准请假可作为团队状态和日历依据。 |
 | 企业微信打卡作为原始采集 | `DONE` | 由企业微信侧承载定位、人脸、Wi-Fi、设备和防作弊能力；OA 不重造。 |
 | 企业微信打卡 API 同步 | `PARTIAL` | 已新增同步批次和企微打卡摘要表；有已授权调用打卡 API 的自建应用 Secret 和企微权限时同步，缺配置时记录 `SKIP`。`WECOM_CHECKIN_SECRET` 可作为单独考勤同步应用的显式覆盖；未配置时复用已授权工作台应用的 `WECOM_AGENT_SECRET`。 |
-| 企微 HR/考勤审批镜像 | `CONTROLLED_OPS_READY` | WAPC2 已新增请假/补卡模板详情和低风险 `sp_no` 审批详情只读 POC；WAPC2FLIVE 已完成自动样件与 WAPC2 自动复跑；WCBK1 已完成真实回调 URL 验证和一条测试审批事件确认；WACP3R 已证明请假/补卡补偿拉取和详情读取可用；WREAD1F 已完成请假/补卡模板级真机确认，结论 `PASS_READABLE`。WARCH1 已实现请假/补卡最小历史留存和离线读取，WARCH2 已实现正式只读历史查询。WROAD2+OPS 做测试账号巡检，WARCH3 已升级自动巡检，WCHECK1 已补打卡摘要留存，WEXT1 只完成外出/加班 dry-run，WOPS1 修正告警降噪和管理员员工号；后续 `wecom_attendance_approval_mirror_v1` 仍需 WROAD2-CLOSEOUT、WEXT1-LIVE 四类测试号证据、WREAL1 小范围真实试用或明确批准。 |
+| 企微 HR/考勤审批镜像 | `CONTROLLED_OPS_READY` | WAPC2 已新增请假/补卡模板详情和低风险 `sp_no` 审批详情只读 POC；WAPC2FLIVE 已完成自动样件与 WAPC2 自动复跑；WCBK1 已完成真实回调 URL 验证和一条测试审批事件确认；WACP3R 已证明请假/补卡补偿拉取和详情读取可用；WREAD1F 已完成请假/补卡模板级真机确认，结论 `PASS_READABLE`。WARCH1 已实现请假/补卡最小历史留存和离线读取，WARCH2 已实现正式只读历史查询。WROAD2+OPS 做测试账号巡检，WARCH3 已升级自动巡检，WCHECK1 已补打卡摘要留存，WEXT1 只完成外出/加班 dry-run，WOPS1 修正告警降噪和管理员员工号；后续 `wecom_attendance_approval_mirror_v1` 仍需 WROAD2-CLOSEOUT、WROAD2-BIZ1、WAPPR1、WEXT1-LIVE、四类测试号证据、WREAL1 小范围真实试用或明确批准。 |
 | 员工补卡申请审批 | `DONE_AS_OA_FALLBACK` | 当前 OA 能提交补卡修正；WFOC 后正常入口迁往企微，OA 仅在应急模式开放并进入恢复回写。 |
 | 外出申请审批 | `DONE_AS_OA_FALLBACK` | 当前 OA 能提交外出修正；WFOC 后正常入口迁往企微，OA 仅在应急模式开放并进入恢复回写。 |
 | 加班申请审批 | `DONE_AS_OA_FALLBACK` | 当前 OA 能提交加班修正；WFOC 后正常入口迁往企微，OA 仅在应急模式开放并进入恢复回写。 |
@@ -235,8 +235,10 @@ WFOC 后，正常审批规则优先以企业微信审批模板和打卡/假期
 - 已完成 A0.17：`WARCH3 归档稳定化自动巡检`，新增每日补偿、归档对账 finding、历史查询可用性、旧 callback gap 解释、报告趋势、07:30 systemd timer 和脱敏企微告警。
 - 已完成 A0.18：`WCHECK1 打卡摘要留存`，保存规范化打卡明细、日/月摘要、异常摘要和规则快照；不保存完整位置、人脸、设备明文或原始 payload。
 - 已完成 A0.19：`WEXT1 外出/加班 dry-run`，支持外出/加班低风险 POC payload 构建；live 创建模板或审批单前必须再次问答批准。
- 后续 A0.20：`WEXT1-LIVE 外出/加班测试号 live POC`，仅在 WROAD2-CLOSEOUT 三天验收通过或 finding 可解释后另建合同并再次人工确认；一次创建外出+加班 OA-POC 低风险样件，固定 `SMOKE002 -> SMOKE101`、`WECOM_AGENT_SECRET` 和写入双开关，样件保留审计。
- 后续 A0.21：`WREAL1 小范围真实试用`，仅在请假、补卡、外出、加班四类测试号证据通过后启动，届时再确认 1-2 名真实员工、试用周期、回滚联系人和验收标准。
+- 后续 A0.20：`WROAD2-BIZ1 三天业务冒烟`，在测试账号范围补充真实业务动作：`SMOKE002` 每天按企微规则尝试上/下班打卡并提交低风险请假/补卡，`SMOKE101` 先打开详情再审批，`HYD000006` 每天查看 OA 企微审批归档和打卡摘要；无法打卡、无法审批或需要手选审批人时记录 finding。
+- 后续 A0.21：`WAPPR1 审批规则规范化门禁`，请假、补卡、外出、加班正式模板必须按直属主管、部门负责人或指定审批角色自动带出审批人；申请人不得任意选择审批人；审批人缺失、停用、未绑定、不可见或自审时阻断，未通过模板不得进入真实试用。
+- 后续 A0.22：`WEXT1-LIVE 外出/加班测试号 live POC`，仅在 WROAD2-CLOSEOUT/WROAD2-BIZ1/WAPPR1 可解释通过后另建合同并再次人工确认；一次创建外出+加班 OA-POC 低风险样件，固定 `SMOKE002 -> SMOKE101`、`WECOM_AGENT_SECRET` 和写入双开关，样件保留审计。
+- 后续 A0.23：`WREAL1 小范围真实试用`，仅在请假、补卡、外出、加班四类测试号证据和 WAPPR1 审批规则门禁通过后启动，届时再确认 1-2 名真实员工、试用周期、回滚联系人和验收标准。
 - 后续 A1：`wecom_attendance_approval_mirror_v1`，同步企微请假、补卡、外出、加班审批、附件、历史和状态回调；该命名承接旧口径 `wecom_native_approval_mirror_v1`。正式开发前仍必须完成 WREAL1 或获得明确批准，并保留打卡细项、假期余额和四类测试号证据边界。
 - 后续 A2：`oa_hr_emergency_mode_v1`，管理员人工接管、应急提交、应急审批和恢复队列。
 - 后续 A3：`wecom_recovery_writeback_v1`，企微恢复后 dry-run、自动回写、失败重试和冲突清单。