WTCLOSE2F 修正测试号收口远端执行口径

docs/trialrun/人工试运行报告.md

@@ -558,6 +558,17 @@ Go 结论边界：
 | 结论分类 | 已固定 | `PASS_TEST_ACCOUNT_CLOSEOUT_READY`、`PASS_WITH_FINDINGS`、`PAUSED_MANUAL_CONFIRMATION`、`SKIP/BLOCKED_BY_EXTERNAL_CONFIG`。 |
 | 后续问答 | 待 WTCLOSE2 汇总 | 若 WTCLOSE2 可解释通过，再问是否批准 WEXT1-LIVE 单次 live 创建外出+加班 OA-POC 样件；真实员工试用仍固定后置为 1 名真实员工 + 1 名审批人/管理员观察，且需另行问答。 |
 
+## WTCLOSE2F 远端可信 IP 执行口径修正
+
+执行时间：2026-05-22。用户确认企业微信后台已限制 API 只能由部署服务器访问，本地执行 WTCLOSE2 会因缺远端 env、DB 和可信 IP 产生误导性阻断，因此修正如下：
+
+| 项目 | 状态 | 证据与边界 |
+| --- | --- | --- |
+| 执行合同 | 已建档 | 新增 `issues/2026-05-22_11-10-06-wecom-test-account-closeout-remote-only-v1.csv`，ID 为 `WTCLOSE2F-0..WTCLOSE2F-5`。 |
+| 执行入口 | 已修正 | WTCLOSE2 真实运行命令改为 `bash scripts/qa/run-wecom-test-account-final-closeout.sh --remote`，由 SSH 到部署服务器并在 server 容器中执行。 |
+| 本地边界 | 已固定 | 本地直接执行脚本默认拒绝跑企微链路；本地只用于 `bash -n`、合同、文档和静态门禁。此前本地缺 env/DB 造成的 WTCLOSE2 阻断不能作为企微业务阻断证据。 |
+| 写入边界 | 不变 | 远端 WTCLOSE2 仍不写企业微信、不创建外出/加班模板或审批单、不启用真实员工；WFULLSMOKE1 仍以 `WFULLSMOKE_ALLOW_PUBLIC_WRITES=0` 运行。 |
+
 ## 历史恢复
 
 需要追溯 R70-R91 的详细流水时，使用：