完成杨俊报销就绪配置与企微边界记录（07-27-yang-jun-reimbursement-readiness）

.trellis/tasks/07-27-yang-jun-reimbursement-readiness/implement.md

@@ -0,0 +1,66 @@
+# 杨俊报销就绪：执行计划
+
+## 1. 生产写入前门禁
+
+- [x] 只读复核活动 server 构建标识、Compose 项目、4 个 systemd service 当前 `BUILD_SHA`、timer enabled/active、最近源端备份与 ARM 新鲜度；输出仅限状态和计数。
+- [x] 使用活动部署的显式合同参数重装 automatic backup 的 daily/watchdog/drill-reminder units。
+- [x] 使用活动部署的显式合同参数重装 WARCH3 unit。
+- [x] 验证以下 4 个 service 的 `BUILD_SHA` 全部等于活动 server，相关 timers 为 enabled/active：
+  - `hyb-oa-automatic-backup-daily.service`
+  - `hyb-oa-automatic-backup-watchdog.service`
+  - `hyb-oa-automatic-backup-drill-reminder.service`
+  - `hyb-oa-warch3-ops.service`
+- [x] 手工启动一次 automatic backup daily service；确认源端 `Result=success`、`ExecMainStatus=0`。
+- [x] 在 ARM 只读验证新批次完成、manifest/文件完整性与新鲜度检查通过；任何失败均停止人员写入。
+
+## 2. 杨俊单人导入
+
+- [x] 从管理员导出的通讯录以管道/内存方式筛选杨俊一人，不生成持久化子集文件，不输出个人字段。
+- [x] 在生产容器运行 dry-run，验收计数：输入 1、active 1、incomplete 0、planned create 1、conflict 0、skip 0、failure 0。
+- [x] dry-run 符合预期，无需进入偏差处理分支。
+- [x] 经本任务最终实施批准后，使用 `docker-compose exec -T -e WECOM_DIRECTORY_EXPORT_APPLY ... --input=- --apply` 写入唯一目标。
+- [x] 只读验证杨俊 OA 员工为 active、企微绑定唯一、初始角色严格为 `employee`，且其余通讯录成员未进入本轮输入或写入。
+- [x] 确认生产企微通讯录写回门禁关闭；本轮同步结果为 skipped，未调用企微成员写接口。
+
+## 3. 设置真实直属主管
+
+- [x] 写入前记录杨俊原 `direct_manager_id` 的脱敏状态，并确认马建勇为 active、不同员工且具有 `expense.approve`。
+- [x] 通过现有 `POST /api/users/batch/set-manager` 仅将杨俊的主管设置为马建勇；不直写数据库、不调整任何人的角色。
+- [x] 写后验证主管解析成功，并核对 `SYSTEM_USERS_BATCH_SET_MANAGER` 审计增量；该接口合同不递增目标员工 token version 或撤销会话。
+- [x] 主管写入成功，未进入失败或误配回退分支。
+
+## 4. 聚焦验证
+
+- [x] 运行通讯录导入相关测试，覆盖手机号为空、单目标和 apply 双门禁。
+- [x] 运行 users set-manager 路由测试，覆盖 active、自指、审计和权限边界。
+- [x] 运行 workflow/reimbursement 聚焦测试，覆盖主管解析、`expense.approve`、无差旅申请和绑定票据提交门禁。
+- [x] 运行 `cd server && npm run prisma:validate`；代码未变化时仍将结果作为当前合同基线记录。
+- [x] 运行 Trellis task/governance、流程/文档、敏感扫描和 `git diff --check`。
+- [x] 按项目规则对权限、workflow 和生产写入证据做一次只读 review；Codex inline 主代理复核通过，未发现角色扩权、企微反向写入、审批自审或生产测试业务数据。
+
+## 5. 用户真实验收
+
+- [ ] 请杨俊本人从企业微信进入 OA，确认身份解析成功并能看到报销入口。
+- [ ] 杨俊使用真实业务数据创建报销，至少添加一条费用明细并上传/绑定状态有效的真实票据后提交。
+- [ ] 确认马建勇能看到该真实审批待办并按业务事实处理。
+- [ ] 审批通过后确认单据进入王芝玲负责的财务处理链路；后续付款批次继续遵守既有 maker-checker。
+- [ ] 用户验收期间不在聊天、截图或任务证据中粘贴票据、金额、银行资料或完整账号。
+
+## 6. 完成条件
+
+- [ ] PRD 全部验收项有脱敏证据或明确由用户完成的真实业务验收结果。
+- [ ] 本任务未导入其他成员、未创建法体、未补银行资料、未生成测试生产业务数据。
+- [ ] 若只完成系统就绪而真实报销尚未提交，任务保持未完成并明确剩余用户操作，不用合成测试替代。
+- [ ] 完成后归档本任务，返回 R63–R66 产品主线；不从本任务继续长出新的运维加固范围。
+
+## 7. 已完成的脱敏证据
+
+- timer：4 个 service 构建合同一致，4 个 timer 均 enabled/active。
+- 备份：源端真实批次 `success/0`，ARM 独立 dead-man `success/0`。
+- 通讯录 dry-run：输入 1、active 1、缺手机号 1、incomplete 0、计划创建 1、冲突/跳过/失败 0。
+- 通讯录 apply：创建 1、成功 1、冲突/跳过/失败 0；角色严格为 `employee`，企微绑定唯一。
+- 主管接口：状态 200、更新 1、`SYSTEM_USERS_BATCH_SET_MANAGER` 审计新增 1；企微外部写入 0。
+- 主数据：active 费用类型 37，active 报销工作流定义 1。
+- 本地回归：5 个测试文件、61 项测试通过；Prisma schema 校验通过。
+- 公网检查：`/ready` 为 ok、构建标识匹配，首页 HTTP 200。
+- 只读 review：本轮只写 OA 员工、身份绑定和 OA 主管关系；未修改角色矩阵、workflow 代码、状态机、数据库 schema 或企微成员资料。