验证OCR关闭后的报销闭环（07-27-yang-jun-reimbursement-readiness）

.trellis/tasks/07-27-yang-jun-reimbursement-readiness/implement.md

@@ -38,7 +38,31 @@
 - [x] 运行 Trellis task/governance、流程/文档、敏感扫描和 `git diff --check`。
 - [x] 按项目规则对权限、workflow 和生产写入证据做一次只读 review；Codex inline 主代理复核通过，未发现角色扩权、企微反向写入、审批自审或生产测试业务数据。
 
-## 5. 用户真实验收
+## 5. 两个既有企微测试成员的受控验收
+
+- [x] 从管理员通讯录以内存方式仅筛选“测试员工”和“测试主管”，验证二者唯一、active、资料满足导入合同；不输出或持久化原始字段。
+- [x] 生产 dry-run 验收输入 2、计划创建 2、冲突/跳过/失败 0；偏差即停止。
+- [x] 单独取得生产测试账号/业务写入批准后 apply，并确认两人 active、企微绑定各自唯一、没有导入其他成员。
+- [x] 通过现有角色接口将角色收敛为：测试员工=`employee`，测试主管=`employee + manager`；核对 token version、会话撤销及角色审计。
+- [x] 通过现有主管接口设置“测试员工 → 测试主管”，确认测试主管 active 且具有 `expense.approve`。
+- [x] 两个测试成员均完成账号密码登录与首次改密，申请人可见报销入口、主管可见审批入口；企微 SSO 因不能冒充企微身份仍待人工确认。
+- [x] 测试员工创建唯一一条描述含“系统测试、非真实业务、禁止付款”、总额 0.01 元的测试报销，并上传不含真实资料的安全 PDF。
+- [x] 合成 PDF 经生产 mock OCR 自动生成测试字段并标记可用，绑定后成功提交；该结果同时暴露真实使用前必须移除 mock OCR 的门禁。
+- [x] 测试主管确认待办可见并执行“退回”，未执行“通过”；报销回到 `draft` 且 workflow instance 终止，无需追加“撤回”。
+- [x] 测试员工删除 draft 报销；票据解绑回到 `available` 后已手工归档。
+- [x] 管理员停用两个测试 OA 账号并确认会话撤销、企微写回为 skipped；企微侧两个测试成员保持不变。
+- [x] 只读收口确认：测试报销 0、pending 待办 0、测试票据唯一且为 manual archived、两个测试 OA 账号为 archived、活动会话 0、企微绑定保留 2；未产生测试付款。
+
+## 5.1 真实发票路径门禁
+
+- [x] 只读确认生产当前为 `OCR_PROVIDER=mock`，腾讯 OCR 凭证未配置。
+- [x] 用户选定“关闭 mock 并采用财务查看 PDF 原件人工核对”；本轮不改代码、不部署新构建。
+- [x] 生产 `.env` 已切换为 `OCR_PROVIDER=off`；现场无独立 worker 且 `JOBS_ENABLED=true`，因此仅强制重建 server。公网 `/ready` 正常，构建仍为 `4886f9b081dd`。
+- [x] 重新启用两个测试 OA 账号并完成受控 API 闭环：新 PDF 直接 `available`，八个发票业务字段为空、OCR 尝试为 0，绑定、提交、主管退回均成功。
+- [x] 复验后删除测试报销、归档测试票据、停用测试 OA 账号；最终活动会话 0、测试报销 0、pending 待办 0、未归档测试票据 0，企微同步均为 skipped。
+- [x] 记录非阻断 schema finding：off 路径未显式写 provider，但 `ocr_provider` 因非空默认值仍存 `tencent`；请求/完成时间和 OCR 结果为空，当前 UI 不展示该字段。
+
+## 6. 用户真实验收
 
 - [ ] 请杨俊本人从企业微信进入 OA，确认身份解析成功并能看到报销入口。
 - [ ] 杨俊使用真实业务数据创建报销，至少添加一条费用明细并上传/绑定状态有效的真实票据后提交。
@@ -46,14 +70,14 @@
 - [ ] 审批通过后确认单据进入王芝玲负责的财务处理链路；后续付款批次继续遵守既有 maker-checker。
 - [ ] 用户验收期间不在聊天、截图或任务证据中粘贴票据、金额、银行资料或完整账号。
 
-## 6. 完成条件
+## 7. 完成条件
 
 - [ ] PRD 全部验收项有脱敏证据或明确由用户完成的真实业务验收结果。
-- [ ] 本任务未导入其他成员、未创建法体、未补银行资料、未生成测试生产业务数据。
+- [ ] 本任务未导入杨俊和两个既有测试成员之外的其他成员、未创建法体、未补银行资料；唯一测试业务数据已按受控生命周期清理/归档。
 - [ ] 若只完成系统就绪而真实报销尚未提交，任务保持未完成并明确剩余用户操作，不用合成测试替代。
 - [ ] 完成后归档本任务，返回 R63–R66 产品主线；不从本任务继续长出新的运维加固范围。
 
-## 7. 已完成的脱敏证据
+## 8. 已完成的脱敏证据
 
 - timer：4 个 service 构建合同一致，4 个 timer 均 enabled/active。
 - 备份：源端真实批次 `success/0`，ARM 独立 dead-man `success/0`。
@@ -64,3 +88,7 @@
 - 本地回归：5 个测试文件、61 项测试通过；Prisma schema 校验通过。
 - 公网检查：`/ready` 为 ok、构建标识匹配，首页 HTTP 200。
 - 只读 review：本轮只写 OA 员工、身份绑定和 OA 主管关系；未修改角色矩阵、workflow 代码、状态机、数据库 schema 或企微成员资料。
+- 测试账号受控闭环：dry-run/apply 2/2、最小角色和主管关系通过；普通浏览器双账号登录、首次改密、0.01 元测试报销、合成 PDF 上传、提交、主管退回、草稿删除、票据归档均通过；最终 OA 测试账号 archived 2、活动会话 0、企微同步 skipped 2、测试报销与 pending 待办均为 0。
+- finding：生产 OCR 为 mock 且真实腾讯 OCR 未配置，合成 PDF 自动生成 Mock 字段；草稿删除后页面导航前产生已删除详情/precheck 的 404 控制台噪声。前者阻断杨俊真实票据上传，后者不阻断业务。
+- OCR off 复验：配置切换后未改构建；三次有业务写入的复验/诊断均按“退回 → 删除 → 归档 → 停用”收口。累计 4 张合成测试票据（含第一轮）均已归档，未归档 0；测试报销与 pending 待办均为 0。
+- OCR off 结论：空发票业务字段可以绑定并提交，主管退回成功；真实使用暂由财务查看 PDF 原件并人工核对。文件 SHA-256 查重仍有效，发票号查重暂不可用。