BIZ8 固化样票脱敏授权规则

docs/报销发票附件规则.md

@@ -42,6 +42,22 @@ R5 公网验收后确认：正式发票/OCR 上传入口只接受 PDF 发票文
 - OCR 失败、重复、已使用、他人已使用都要显示可理解原因。
 - 刷新按钮必须有明显反馈，不能让用户误以为没点中。
 
+## 样票脱敏和授权
+
+真实 OCR、批量样票回归和供应商能力验证只能使用已授权样票。仓库只保存规则、摘要、命令和证据路径，不保存真实票据原件。
+
+样票进入测试前必须确认：
+
+- 样票来源、用途、授权人和有效期已在仓库外安全位置登记；Issue CSV 只记录授权摘要或外部登记位置。
+- 原始发票、支付截图、订单、合同和聊天记录不得提交到 git；需要长期保留时放在受控对象存储或本地安全目录。
+- 脱敏样票必须去除或遮盖不参与测试的公司抬头、税号、地址电话、开户行账号、个人姓名、手机号、身份证、银行卡、二维码和完整业务备注。
+- 如果 OCR 测试必须保留发票代码、号码、金额、日期等字段，应只保留验证所需最小字段，并在报告中写明保留原因。
+- 证据报告只能记录文件别名、格式、大小、样本类别、OCR 状态、字段命中摘要和失败原因，不记录完整票面图片或敏感字段明文。
+- `artifacts/`、`output/` 和 Playwright 截图不得包含未经脱敏的真实票面；如工具自动生成了敏感截图，先删除或移出仓库外安全位置，再回填摘要。
+- 无授权样票时，真实 OCR 回归只能标记为 `SKIP`，不得用 mock、截图或口头描述替代真实样票结论。
+
+样票引用建议使用稳定别名，例如 `SAMPLE-PDF-VAT-001`、`SAMPLE-IMG-VAT-001`。别名和真实文件名的映射放在仓库外，Issue CSV `Notes` 只写别名、结论和证据路径。
+
 ## 查重规则
 
 公司级查重优先级：