WCBK1 实现企微审批回调只读 POC

docs/需求-统一审批中心规约.md

@@ -5,7 +5,7 @@
 **状态**：模块级开发规约
 **上级事实源**：[海音达OA-MVP需求规格说明书](./海音达OA-MVP需求规格说明书.md)
 
-本规约细化 `hyb-oa` 审批中心和企业微信原生审批镜像的产品边界、角色权限、状态模型、异常规则、留痕要求和验收场景。WFOC 起，审批按主办方分层；DBWFOC 后边界进一步收窄：报销、财务、采购、合同和项目类审批继续由 OA 主办；请假、补卡、外出、加班等 HR/考勤员工日常审批优先由企业微信主办，OA 同步按域镜像并保留人工接管和恢复回写能力。WMSG1 已验证企业微信应用消息和 Deeplink 回流，WAPC1 后审批镜像前置工作进入配置准备清单阶段，WAPC2 已提供请假/补卡只读 POC runner，WAPC2FLIVE 已自动生成请假/补卡 OA-POC 样件并复跑通过。后续仍必须先完成 WCBK1、WACP3 和 WADM1 门禁，不能直接放行镜像实现。后续审批相关开发必须先从本规约拆分 Issue CSV，再进入技术方案和代码实现。
+本规约细化 `hyb-oa` 审批中心和企业微信原生审批镜像的产品边界、角色权限、状态模型、异常规则、留痕要求和验收场景。WFOC 起，审批按主办方分层；DBWFOC 后边界进一步收窄：报销、财务、采购、合同和项目类审批继续由 OA 主办；请假、补卡、外出、加班等 HR/考勤员工日常审批优先由企业微信主办，OA 同步按域镜像并保留人工接管和恢复回写能力。WMSG1 已验证企业微信应用消息和 Deeplink 回流，WAPC1 后审批镜像前置工作进入配置准备清单阶段，WAPC2 已提供请假/补卡只读 POC runner，WAPC2FLIVE 已自动生成请假/补卡 OA-POC 样件并复跑通过。WCBK1 已部署只读回调端点和 synthetic 验签/解密 runner，但真实回调配置仍缺，结论为 `PARTIAL_CALLBACK_NEEDS_CONFIG`。后续仍必须先完成 WCBK1 真实 URL/事件确认、WACP3 和 WADM1 门禁，不能直接放行镜像实现。后续审批相关开发必须先从本规约拆分 Issue CSV，再进入技术方案和代码实现。
 
 ---
 
@@ -413,7 +413,7 @@ WAPC2F 是 WAPC2 后的自动化优先补缺阶段，目标是尽量用 QA-only
 
 在 `wecom_attendance_approval_mirror_v1` 前必须补齐三个 POC/设计门禁：
 
-- `WCBK1 回调只读 POC`：证明真实回调 URL 验证、验签、解密、幂等键、重复投递和失败重试语义。
+- `WCBK1 回调只读 POC`：已新增只读 `GET/POST /api/wecom/approval/callback` 和 `npm run check:wecom-approval-callback-poc`。当前公网 synthetic 验签、解密和解析通过，但缺 `WECOM_APPROVAL_CALLBACK_URL`、`WECOM_CALLBACK_TOKEN`、`WECOM_CALLBACK_ENCODING_AES_KEY`，结论 `PARTIAL_CALLBACK_NEEDS_CONFIG`；真实通过需企微后台 URL 验证和 `SMOKE101` 处理现有 OA-POC 测试单触发事件。
 - `WACP3 补偿拉取 POC`：证明可按时间窗口获取审批单号，并调用 `getapprovaldetail` 拉取详情。
 - `WADM1 镜像数据模型设计`：先设计字段、状态机、幂等键、索引、隐私保留、审计和迁移回滚方案。