修正CEO报销财务兜底与部署护栏（07-28-ceo-finance-fallback）

2026-07-28 13:42:48 +08:00
@@ -82,7 +82,7 @@

 ## 审批与通知

- 正式审批口径：`majianyong` 是公司负责人 `ceo` 且不配置直属主管，当前唯一 active `manager` 向其汇报；`wangshunli` 只承担系统开发/系统管理，不配置正常业务审批角色；`admin` 不代表业务审批权。CEO 本人报销只有在 active 非本人财务兜底可解析时才能通过，否则必须阻断。
+- 正式审批口径：`majianyong` 是公司负责人 `ceo` 且不配置直属主管，当前唯一 active `manager` 向其汇报；`wangshunli` 只承担系统开发/系统管理，不配置正常业务审批角色；`admin` 不代表业务审批权。CEO 本人报销只有在 active 非本人 `finance` 兜底可解析时才能通过；本地候选已通过，部署与生产规则回填前公网仍必须阻断。
 - WOUA-FIX 后，`SMOKE001`、`SMOKE201`、`SMOKE301`、`SMOKE302`、`SMOKE401`、`T0000` 已作为缺企微测试数据软归档；后续真机或公网试运行不得再把这些账号作为当前执行账号。
 - 审批链正确性是业务逻辑验收，优先通过 PC 公网网页或自动化证明，不要求所有审批角色绑定企业微信。
 - 企业微信真机验收只覆盖工作台入口、绑定/免登录、移动布局、待办、详情、PDF 上传入口和通知 deeplink；当前 `oa_smoke_01 -> SMOKE002` 与 `oa_smoke_02 -> SMOKE101` 足够覆盖“提交人 + 审批人”的核心移动体验。
@@ -97,7 +97,7 @@
 | 普通低/中额单据 | PC/自动化 | `SMOKE002` / 测试员工 | 提交低/中额单据 | 待办分配给 `SMOKE101` | 通过 | S4 自动化证据 |
 | 高额/高风险/例外单据 | PC/自动化 | 当前 active 角色账号 | 提交高额/例外单据 | 按当前负责人、财务和财务主管配置流转 | 需按 WOUA-FIX 后账号重跑 | 后续新证据 |
 | 主管本人申请 | PC/自动化 | 当前 active 主管账号 | 主管提交本人申请 | 待办分配给非本人上级或明确阻断 | 需按 WOUA-FIX 后账号重跑 | 后续新证据 |
-| 公司负责人本人申请 | PC/自动化 | 当前 active 负责人账号 | 负责人提交本人申请 | 不允许自审；无非本人兜底时阻断 | 需按 WOUA-FIX 后账号重跑 | 后续新证据 |
+| 公司负责人本人申请 | PC/自动化 | 当前 active 负责人账号 | 负责人提交本人申请 | 三档均唯一进入 active 非本人 `finance`；无持有人或自审时阻断 | 本地聚焦回归通过，待部署和生产规则回填后只读复核 | 当前 Trellis task；后续公网证据 |
 | 系统管理员无业务审批权 | PC/自动化 | 当前 active admin | 尝试审批测试单据 | 不允许仅凭 `admin` 审批 | 需按 WOUA-FIX 后账号重跑 | 后续新证据 |
 | 财务复核与付款/导出 | PC/自动化 | 当前 active 财务角色账号 | 处理已批准测试单据 | 按财务与财务主管权限处理 | 需按 WOUA-FIX 后账号重跑 | 后续新证据 |

@@ -108,7 +108,7 @@
 - 缺直属主管、主管停用、主管链断裂或审批节点解析为申请人本人时，提交必须阻断并提示"未配置可审批人"或"当前审批规则未找到审批人"。
 - 只有审批规则显式配置老板/总经理或兜底审批节点，且目标不是申请人本人时，才进入 `CEO` 或其他非本人兜底审批人。
 - 不自动通过，不静默跳过，不用无条件升级 `CEO` 掩盖组织配置问题。
- 当前正式运行口径：`majianyong` 是公司负责人 `ceo` 且不配置直属主管；当前唯一 active `manager` 向其汇报。`wangshunli` 只承担系统开发/系统管理，不配置业务审批角色；`admin` 不代表业务审批权。CEO 本人报销目标由 active 非本人 `finance` 审批，当前实现缺口未修复时保持阻断。
+- 当前正式运行口径：`majianyong` 是公司负责人 `ceo` 且不配置直属主管；当前唯一 active `manager` 向其汇报。`wangshunli` 只承担系统开发/系统管理，不配置业务审批角色；`admin` 不代表业务审批权。CEO 本人报销目标由 active 非本人 `finance` 审批；本地候选已实现，部署和生产规则回填前保持阻断。

 ### W-2 转审适用范围
 - 产品目标：转审是通用审批能力，目标覆盖报销、请假、采购、差旅。
@@ -153,10 +153,10 @@
 - `manage` 不是 `approve` 的别名，也不等于"可任意改历史数据"

 ### R-2 报销/费用金额分层审批
- 当前 5–10 人单管理员团队不按金额分层；所有员工报销统一使用 `直属主管（department_manager） → finance`。金额差异不增加重复审批节点，也不引用无人持有的 `finance_mgr`。
- 马建勇同时是杨俊直属主管和唯一 CEO；再追加 CEO 节点只会让同一自然人对同一单据连续审批两次，不形成新的控制。
- 真正的职责分离保留在付款环节：`finance` 创建付款批次，`ceo` 复核，继续执行 maker-checker。
- 只有出现第二名实际承担审批职责的主管，或有人基于真实职责正式承担 `finance_mgr`，并且业务证明需要金额升级时，才重新评估金额分层。仅需提示大额时优先用风险标记或通知，不用重复审批节点代替。
+- 当前三档规则固定为：小额 `manager -> finance`、中额 `manager -> finance`、大额 `manager -> ceo -> finance`；三档负责人本人 fallback 均为 `finance`，不引用无人持有的 `finance_mgr`。
+- 普通员工按规则顺序审批；CEO 本人提交时移除本人 `ceo` 节点、替换不可解析的 `manager` 并去重，最终只有 active 非本人 `finance` 节点。
+- 真正的职责分离继续保留在付款环节：`finance` 创建付款批次，`ceo` 复核，执行 maker-checker。
+- 不因小团队规模放宽自审，也不通过 `admin` 代批或给现有财务追加权限更宽的 `finance_mgr`。

 ### R-3 资产转移权限
 - `asset.transfer` 只给 `administration / 资产管理员`
@@ -169,6 +169,6 @@
 - `finance`、`finance_mgr` 均不拥有 `asset.transfer`；实物调拨继续只属于 `administration`。

 ### R-5 CEO 本人无主管报销限制
- 现有负责人本人报销规则只允许 active、非本人的 `finance_mgr` 作为 `ownerSelfFallbackRole`；普通 `finance` 不满足该兜底角色。
- 当 CEO 本人没有可解析直属主管且公司没有合适的非本人 `finance_mgr` 时，报销提交保持阻断。不得通过给财务人员顺带增加 `finance_mgr`、使用 `admin` 代批或恢复整库来绕过。
- 授予 `ceo` 后，既有 `assignee_role=ceo` 待办会对该角色持有人可见，新提交单据按当前规则生成 CEO 节点；既有审批快照不重路由，过去提交失败的单据也不会自动恢复。若未来要放开 CEO 本人报销，应另开产品任务调整兜底规则和最小权限，而不是在账号配置阶段扩权。
+- `ownerSelfFallbackRole` 只允许 active、非本人的 `finance` 或兼容角色 `finance_mgr`；本公司新建默认和生产目标均为 `finance`。
+- CEO 本人没有可解析直属主管时，只有存在 active 非本人 fallback 持有人才能提交；无持有人或 CEO 同时持有 fallback 角色时继续阻断。不得使用 `admin` 代批或恢复整库绕过。
+- 既有审批快照不重路由，过去提交失败的单据也不会自动恢复。当前本地候选尚未部署、生产规则尚未回填，因此公网仍按旧配置阻断。
@@ -123,7 +123,7 @@
 | `OALAUNCH1` | `issues/2026-05-23_16-49-39-oa-final-launch-readiness-v1.csv` | `EVIDENCE` | 历史最终启用门禁来源；真实业务闭环、连续 7 天、权限矩阵、备份恢复、数据治理培训、运营支持和 Day 7 人工决策要求仍可复用，但未来实际执行必须由新 Trellis task 承接。未取得新任务完整证据前不得宣布最终正式启用完成 |
 | `OMAT1` | `issues/2026-05-23_17-20-00-oa-maturity-gap-review-v1.csv` | `CURRENT` | 当前成熟度缺口审查台账：按 MAGI 审视/执行/提升轮次调查 hyb-oa 是否成熟，并对标国内主流 OA/协同/低代码/财务/资产系统；已补充国内对标来源、小团队取舍原则、用户决策回填和成熟度证据视图；所有问题和建议先记录为待用户采纳、暂缓或否决，不直接改业务代码 |
 | `OPOLICY1` | `issues/2026-05-24_01-20-52-oa-policy-system-alignment-v1.csv` | `CURRENT` | 当前制度与 OA 对齐合同：先调整外部制度包为小团队 V1，再回写 OA 事实源和启用门禁；制度参数、资料留存、用印台账、审批异常 SOP、制度签收和 P2 冻结进入 OALAUNCH1 数据治理门禁；现有合同台账、资产台账和公告能力可承载 V1，不立即做 schema 或业务代码改造 |
-| `OAFLOW1` | `issues/2026-05-24_19-03-07-oa-owner-application-fallback-approval-v1.csv` | `CURRENT` | 负责人本人申请兜底机制仍有效，但当前人员职责已由用户修正：`majianyong` 是 `ceo` 且无直属主管，`wangshunli` 仅为系统开发/系统管理员，不参与正常业务审批；CEO 本人报销目标由 active 非本人 `finance` 审批。现有代码和启用规则仍限定 `finance_mgr`，而生产没有 active `finance_mgr`，因此后续最小权限修正完成前必须阻断，不得把历史 OAFLOW1 证据误读为当前已就绪 |
+| `OAFLOW1` | `issues/2026-05-24_19-03-07-oa-owner-application-fallback-approval-v1.csv` | `CURRENT` | 负责人本人申请兜底机制仍有效，但当前人员职责已由用户修正：`majianyong` 是 `ceo` 且无直属主管，`wangshunli` 仅为系统开发/系统管理员，不参与正常业务审批；CEO 本人报销目标由 active 非本人 `finance` 审批。Trellis task `07-28-ceo-finance-fallback` 已完成本地候选实现与聚焦回归，支持 `finance|finance_mgr` 且默认 `finance`；尚未部署、生产 3 条启用规则尚未原子回填，因此当前公网仍阻断，不得把本地通过误读为生产已就绪 |
 | `OAFRONT6` | `issues/2026-05-25_12-29-03-oa-frontend-maturity-small-step-v1.csv` | `CURRENT` | 当前前端成熟化小步收口合同：承接 OAFRONT5 部署后 PC 硬问题清零和设计审计；路由标题修复、资产台账详情分区、移动视觉矩阵稳定等待、合同台账表单分组和长编号压缩均已实施部署，公网 PC 只读视觉矩阵复测 `PASS_PC_READONLY_VISUAL_READY` 且 `findingCount=0`；Portal 观察继续后置；本合同不写公网业务数据，不替代 OALAUNCH1 真实业务、备份恢复、7 天稳定化或 Go/No-Go |
 | `OAKISS1` | `issues/2026-05-25_20-53-34-oa-business-flow-kiss-review-v1.csv` | `CURRENT` | 当前全业务流程 KISS 审查合同：按 MAGI 审视/执行/提升轮次，对报销/OCR、审批、采购/费用、合同/项目、付款/AP、票据池、资产、权限、移动/企微入口逐项做自动化和人工步骤审查；输出 KISS 建议台账，不直接改业务代码；OALAUNCH1 真实业务闭环、备份恢复、7 天稳定化和 Go/No-Go 仍是正式启用前硬门禁 |
 | `PCDESIGN1` | `issues/2026-05-25_21-27-56-oa-pc-page-design-review-v1.csv` | `CURRENT` | 当前 PC 全页面设计审查合同：按 MAGI 审视/执行/提升轮次，以项目经理和设计总监视角盘点 45 条静态 PC 路由、A/B/C 页面分层、关键视觉矩阵和 KISS 建议；关键 PC 矩阵 `PASS_PC_READONLY_VISUAL_READY`，全静态路由扫描 `PASS_PC_STATIC_ROUTE_SCAN_READY`；建议优先收敛 HR/考勤边界、冻结模块入口、高密度 B/C 页默认视图和动态详情页证据，不直接改业务代码 |
@@ -2,9 +2,9 @@

 **文档状态**：当前唯一文档入口。
 **分类**：入口索引。
-**适用时间**：TRELLIS2 及 2026-07-16 状态收口之后。
+**适用时间**：TRELLIS2 及 2026-07-28 当前任务状态之后。
 **关联治理**：当前 Trellis task；`GOV8` 只作历史治理来源。
-**最近审计**：2026-07-16。
+**最近审计**：2026-07-28。
 **不得误读**：本文只指示当前事实源和读取顺序；历史 Issue CSV 只能用于追溯，不直接生成新开发任务。
 **治理口径**：中文优先，物理精简，优先复用已有文档。已确认不用的历史文档不放 `docs/archive/`，直接从当前工作树移除；需要时从 git 历史恢复。

@@ -24,6 +24,7 @@
 - 当前本地 `main` 包含 7 月 P0 可信度修复和后续本地收口，尚未 push、部署或完成公网复检，不能视为线上已生效。
 - 旧 OAOPS1 7 天真实试运行只有 Day 1–Day 4，后续中断，缺 Day 5–Day 7、现场人工业务闭环和 Day 7 Go/No-Go；归档只表示生命周期关闭，不代表目标完成。
 - 下一轮真实连续试运行必须等待当前可信基线部署并完成公网复核，再新建 Trellis task，从新的 Day 1 连续启动。
+- 当前 `07-28-ceo-finance-fallback` 已完成本地候选实现与聚焦验证：CEO 本人三档报销目标均为唯一 active 非本人 `finance`；尚未部署、生产规则尚未回填，因此不能据此宣布公网可用。

 ## 历史事实源链（截至 2026-05）

@@ -12,7 +12,7 @@
 **OSMOKE1 OA-only smoke 账号治理**：企业微信账号数量有限时，不再为了 OA 报销、资产、财务、AP、合同或权限回归额外申请企业微信账号。企微测试账号只服务 HR/考勤链路；公网 OA 自动化使用 OA-only smoke 账号，允许不绑定企微，但必须在 OA 内保持 active、角色正确且可登录。企微/OA 一致性审计会把私有 env 中列出、显式员工号 allowlist 命中，或符合 `SMOKE*`/`smoke-*`/`oa-smoke-*`/测试命名的 OA-only smoke 账号归为 `oaOnlySmokeExempted`，不再当作“缺企微账号”归档；真实员工不得用该命名绕过一致性治理。恢复账号必须先 dry-run，真实修复必须 `--apply` 且设置 `OA_ONLY_SMOKE_REPAIR_APPLY=1`，不得重置密码、不得打印凭据、不得影响真实员工。
 **OALAUNCH1 最终启用门禁**：ASSET1D 已完成资产台账公网部署、最小 UI 试录和 3 条脱敏 `EA-DOC` 受控导入；OAOPS1 自动巡检已具备公网只读证据，但正式启用前仍必须补齐真实业务闭环、权限矩阵、备份恢复演练、数据治理培训和 Day 7 Go/No-Go。新增 `scripts/qa/run-oa-final-launch-readiness.sh` 只聚合证据并输出 `PASS_OA_LAUNCH_READY`、`PASS_WITH_FINDINGS`、`PAUSED_MANUAL_CONFIRMATION` 或 `SKIP/BLOCKED_BY_EXTERNAL_CONFIG`；脚本不创建业务数据、不执行付款、不写企业微信、不做数据库恢复。未达到 `PASS_OA_LAUNCH_READY` 前，只能视为小团队稳定化收口中，不能宣布最终正式启用完成。
 **OPOLICY1 制度与 OA 对齐口径**：公司制度包已裁剪为“小团队 V1”执行口径，原则是先做到能执行、能留痕、能追责。制度参数、资料留存、用印台账、审批异常 SOP、制度签收和 P2 冻结边界进入 OALAUNCH1 数据治理门禁；预算硬控、复杂招采、电子签章、完整电子档案系统、ERP/银行深集成和 AI 自动改规则不作为正式启用前置条件。
-**OAFLOW1 负责人本人报销兜底审批**：当前业务负责人是 `majianyong`（`ceo`），不配置直属主管且不允许自审；`wangshunli` 仅承担系统开发和系统管理，不是业务审批人。用户确认 CEO 本人报销应由财务审批。现有实现仍只允许 `finance_mgr` 作为 `ownerSelfFallbackRole`，而生产当前只有 active `finance`、没有 active `finance_mgr`，因此 CEO 本人报销在后续最小权限修正完成前会被阻断；不得用 `admin` 代批，也不得把系统管理员配置成假直属主管。
+**OAFLOW1 负责人本人报销兜底审批**：当前业务负责人是 `majianyong`（`ceo`），不配置直属主管且不允许自审；`wangshunli` 仅承担系统开发和系统管理，不是业务审批人。用户确认 CEO 本人报销应由财务审批。`07-28-ceo-finance-fallback` 已在本地实现 `finance|finance_mgr` 兼容、新规则默认 `finance` 和三档 CEO 唯一 `finance` 快照，聚焦回归与前端构建通过；代码尚未部署、生产 3 条启用规则尚未回填，因此当前生产仍按旧 `finance_mgr` 配置阻断。不得用 `admin` 代批，也不得把系统管理员配置成假直属主管。

 ## 1. 适用范围
 - 适用于 `small_team_internal` 工作区模式。
@@ -32,7 +32,7 @@
   - 正式审批组织口径：`majianyong` 配置为公司负责人 `ceo` 且不配置直属主管；`wangshunli` 仅配置系统开发/系统管理职责，不配置 `manager`、`ceo`、`finance` 或 `finance_mgr` 业务角色。
   - 普通员工配置有效直属主管；当前唯一 active `manager` 的直属主管配置为 `majianyong`。不得把 `wangshunli` 放入正常业务汇报或审批链。
   - `admin` 只代表系统管理权限，不代表业务审批权；需要业务审批时必须配置 `manager`、`ceo`、`finance`、`hr` 等正式业务角色。
-   - 缺直属主管、主管停用、主管链断裂或审批节点解析到申请人本人时，应先修正组织或审批规则，不要用管理员账号代批。CEO 本人报销只允许通过审批规则进入 active 非本人财务审批；当前 `finance`/`finance_mgr` 配置缺口未修复前保持阻断，不伪造成可用。
+   - 缺直属主管、主管停用、主管链断裂或审批节点解析到申请人本人时，应先修正组织或审批规则，不要用管理员账号代批。CEO 本人报销只允许通过审批规则进入 active 非本人财务审批；本地代码已支持 `finance`，但部署和生产规则回填完成前仍保持阻断，不伪造成可用。
 5. 检查功能开关：
   - 建议开启：`portal_home_v1`、企业微信入口相关开关、报销/OCR、审批待办、请假、项目基础能力和 `payment_batch_v1`。
   - 按需开启：`announcements_v1`、`presence_board_v1`、`weekly_report_v1`、`employee_lifecycle_v1`、`hr_wecom_directory_sync_v1`、`todo_board_v1`、`global_search_v1`。
@@ -177,10 +177,11 @@ ORDER BY priority;

 管理要求：

-1. 当前代码只允许 `owner_self_fallback_role = 'finance_mgr'` 或置空；生产虽已回填该值，但没有 active `finance_mgr` 持有人，因此 CEO 本人报销会阻断。
-2. 用户确认目标口径是由 active 非本人 `finance` 审批。后续修正必须同时检查 `owner_self_fallback_role` 和中/大额规则里的 `finance_mgr` 节点，保证最终快照不残留不可解析节点。
+1. 本地候选代码允许 `owner_self_fallback_role = 'finance' | 'finance_mgr'` 或置空，新建规则默认 `finance`；生产尚未部署该候选，现有启用规则仍为旧 `finance_mgr` 配置，因此 CEO 本人报销继续阻断。
+2. 部署通过后，必须在同一事务内把 3 条启用规则统一为 `finance` 收口：小/中额 `manager -> finance`，大额 `manager -> ceo -> finance`，三档 fallback 均为 `finance`；任一生产前置漂移则零写入停止。
 3. 不得为省事把 `admin` 当业务审批角色，也不得仅为绕过阻断给财务人员附加超出实际职责的权限；优先按最小权限调整支持角色和规则。
 4. 提交后系统保存审批快照；之后修改规则只影响新单，不回写历史流程。
+5. 生产回填先在部署后的 server 容器内执行 `npm run apply:ceo-finance-fallback -- --dry-run --format=json`；只有结果为 `DRY_RUN_PASS`，才设置一次性写入确认开关并执行同一命令的 `--apply`。脚本只输出状态和计数，任一规则、角色、binding 或受保护计数漂移都会回滚。

 财务和系统管理员混授：

@@ -107,7 +107,7 @@ OA 中既有请假、补卡、外出、加班能力转为历史只读、镜像

 ### 2.4 OAFLOW1 负责人本人报销兜底审批

-OAFLOW1 后，OA 主办的报销审批规则增加 `ownerSelfFallbackRole`。当公司负责人本人（当前为 `majianyong`，`ceo`）提交报销且直属主管节点无法解析时，系统应使用审批规则上的 active 非本人财务兜底替换第一层 `manager` 节点。用户确认目标审批人为现有 `finance`；当前代码仍只支持 `finance_mgr`，且生产没有 active `finance_mgr`，所以在后续最小权限修正完成前必须阻断，不能宣称 CEO 本人报销已可用。规则只作用于新提交报销单，提交时保存 `workflow_steps_snapshot`，后续审批推进只读快照，不因之后修改审批规则而漂移。
+OAFLOW1 后，OA 主办的报销审批规则增加 `ownerSelfFallbackRole`。当公司负责人本人（当前为 `majianyong`，`ceo`）提交报销且直属主管节点无法解析时，系统应使用审批规则上的 active 非本人财务兜底替换第一层 `manager` 节点。用户确认目标审批人为现有 `finance`；`07-28-ceo-finance-fallback` 本地候选已支持 `finance|finance_mgr`，新建默认 `finance`，但尚未部署且生产规则尚未回填，所以当前生产仍必须阻断，不能宣称 CEO 本人报销已可用。规则只作用于新提交报销单，提交时保存 `workflow_steps_snapshot`，后续审批推进只读快照，不因之后修改审批规则而漂移。

 执行边界：

@@ -115,15 +115,15 @@ OAFLOW1 后，OA 主办的报销审批规则增加 `ownerSelfFallbackRole`。当
 - 不允许自审；若兜底角色也是申请人本人持有的角色，或没有 active 非本人持有人，提交必须阻断。
 - 不支持 `admin` 作为负责人本人报销兜底角色；`admin` 仍只代表系统管理权限，不代表业务审批权。
 - 当前首版只覆盖 OA 报销金额规则，不扩展到采购、合同、复杂 BPM 或自由流程。
- 现有实现只允许 `ownerSelfFallbackRole=finance_mgr` 或置空。后续修正必须让 active 非本人 `finance` 可作为 CEO 兜底，并同步清理中/大额规则中不可解析的 `finance_mgr` 节点；完成前负责人本人申请继续阻断。
+- 本地候选允许 `ownerSelfFallbackRole=finance|finance_mgr` 或置空，并以 `finance` 为新建默认值；部署与生产规则原子回填完成前，负责人本人申请继续阻断。

 预期链路示例：

 | 金额规则 | 原链路 | 负责人本人申请快照 |
 | --- | --- | --- |
-| 小额 | `manager -> finance` | 目标：`finance`；当前因只支持 `finance_mgr` 而阻断 |
-| 中额 | `manager -> finance_mgr` | 目标：`finance`；当前兜底及原规则均需修正 |
-| 大额 | `manager -> ceo -> finance_mgr` | 目标：`finance`；移除本人 `ceo` 后仍须清理不可解析的 `finance_mgr` 节点 |
+| 小额 | `manager -> finance` | `finance` |
+| 中额 | `manager -> finance` | `finance` |
+| 大额 | `manager -> ceo -> finance` | `finance`；移除本人 `ceo` 并去重 |

 ---

@@ -574,7 +574,7 @@ WF8 当前正式验收通道为站内通知和企业微信个人应用消息。
 | 正式主管链路 | 专用员工提交普通低/中额单据；其 active 直属主管处理待办 | 待办分配给实际直属主管，审批历史与组织关系一致 |
 | 公司负责人二审 | 高额、高风险或例外单据进入 `ceo` 节点 | 串行节点完整，`majianyong(ceo)` 处理负责人节点 |
 | 主管本人申请 | 当前 `manager` 提交单据 | 主管本人不能自审，按组织链进入 `majianyong(ceo)` 或明确非本人兜底节点 |
-| 公司负责人本人申请 | `majianyong` 提交并触发负责人本人兜底 | 不允许自审；目标由 active 非本人 `finance` 审批，当前实现缺口未修复时应阻断 |
+| 公司负责人本人申请 | `majianyong` 提交并触发负责人本人兜底 | 不允许自审；active 非本人 `finance` 唯一审批；部署和生产规则回填前应阻断 |
 | 系统管理员无业务审批权 | 仅 `admin` 角色账号尝试审批业务单据 | 服务端拒绝，不因 `admin` 权限生成审批历史 |
 | 并发处理 | 两个窗口同时处理同一任务 | 只有一个结果生效，另一个提示任务已变化 |
 | 通知失败不阻断 | 模拟企业微信通知发送失败 | 审批提交或处理成功，通知记录进入失败可重试 |