R21/R22: 补齐公网安全文档 试点观测与最小导入脚本

docs/admin-handbook.md

@@ -80,3 +80,35 @@
 2. 每周五在 `deploy/trialrun/observation-template.md` 填写本周结论、关键阻塞、是否需要调整提醒或导航。
 3. 若某周有员工未登录、未提周报、未更新状态，优先通过公告或站内通知补提醒，不引入额外表格。
 4. 连续 4 周都达到预期后，再将 `R17-6` 关单并形成最终验收结论。
+
+## 12. 企业微信入口与登录策略
+- 建议把企业微信定位为 `入口 + 提醒 + 可选免登`，不要在企业微信里再维护第二套审批或项目录入路径。
+- 默认工作台入口落到 `/portal`，员工真正操作仍在 `hyb-oa` 内完成。
+- 企微免登建议先完成账号绑定，再逐步在试点部门开启；任何时候都保留账号密码回退。
+- 若 OA 部署到公网，生产建议同时满足：`HTTPS`、`COOKIE_SECURE=true`、登录失败锁定、限流、审计开启。
+
+## 13. 轻项目管理使用建议
+- 项目主档只做轻量管理：成员、里程碑、任务、风险、交付记录、合同台账与资料引用。
+- 不要把 `hyb-oa` 推成完整项目组合平台；甘特图、资源排产、CRM 仍不在本主线。
+- 员工日常动作建议统一挂项目：
+  - 差旅申请挂项目
+  - 报销单挂项目
+  - 周报按项目拆分进展
+  - 待办可直接挂项目
+- 管理层每周主要查看 `项目` 页中的逾期里程碑、高优任务、风险与费用/出差汇总，而不是再维护第二套项目台账。
+
+## 14. 涉密边界
+- `hyb-oa` 只记录涉密合同或资料的元数据：编号、责任人、密级、归档位置、离线档案号。
+- 涉密正文、涉密附件、详细报价/成本/毛利、敏感客户资料不进入公网 OA。
+- 企业微信通知不得发送涉密正文，只保留最小必要信息和 deeplink。
+- 如项目被标记为涉密，管理员应要求正文继续保存在内网文件盘、NAS 或离线档案中。
+
+## 15. 公网部署最低建议
+1. 为 OA 配置独立 HTTPS 域名，例如 `https://oa.example.com`。
+2. 在 `deploy/trialrun/.env` 中设置：
+   - `APP_ORIGIN=https://oa.example.com`
+   - `COOKIE_SECURE=true`
+   - `PUBLIC_SECURITY_HARDENING_ENABLED=true`
+3. 若启用企业微信入口，补齐：`WECOM_*` 与 `WECOM_ALLOWED_RETURN_HOSTS`。
+4. 将 `OPENAPI_DOCS_ENABLED` 保持为 `false`，不要在公网生产暴露文档入口。
+5. 定期检查审计日志中的登录失败、Refresh 来源不匹配与涉密资料查看记录。

docs/employee-quickstart.md

@@ -45,3 +45,18 @@
 - 每周五提交周报
 - 状态有变化时及时更新 `团队`
 - 有通知先看站内消息，IM 只是补充提醒
+
+## 9. 从企业微信进入
+- 如果公司启用了企业微信工作台入口，优先从企业微信打开 OA。
+- 企业微信只是入口和提醒，真正填写和修改仍在 OA 页面内完成。
+- 如果企业微信免登失败，直接回到账号密码登录即可。
+
+## 10. 项目怎么用
+- 如果你是项目成员，优先在 `项目` 页面查看自己的里程碑、任务、风险和交付记录。
+- 差旅、报销、周报、待办都尽量挂到项目，这样老板不用再到多个平台拼状态。
+- 周报里可以按项目分别写本周进展、风险和下一步。
+
+## 11. 涉密内容注意事项
+- 不要把涉密合同正文、涉密附件、敏感报价和成本细节上传到 OA 或企业微信通知里。
+- 如果系统里只要求你填合同编号、归档位置、离线档案号，这是正常设计，不是少功能。
+- 涉密资料正文继续按公司要求放在内网文件盘、NAS 或离线档案中。

docs/migration-mapping.md

@@ -54,3 +54,17 @@
 - 保存 dry-run 记录 ID、上传文件名、差异摘要。
 - 保存 `CutoverScope` 启停时间、操作人和备注。
 - 保存试点期首批新单编号、审批截图与付款批次号。
+
+## 9. R18-R22 项目与合同最小导入映射
+| 现有表格 | hyb-oa 对象 | 建议最小列 |
+| --- | --- | --- |
+| 项目台账 | `Project` | `project_no,name,client_name,owner_employee_no,status,target_end_at,is_confidential` |
+| 项目成员表 | `ProjectMember` | `project_no,employee_no,role` |
+| 里程碑表 | `ProjectMilestone` | `project_no,title,status,due_date,sort_order` |
+| 风险表 | `ProjectRisk` | `project_no,title,detail,level,status,owner_employee_no` |
+| 合同登记表 | `ContractRegistry` | `contract_no,project_no,counterparty_name,summary,confidentiality_level,archive_location,offline_archive_no,status` |
+
+### 9.1 导入原则
+- 优先导入“仍在使用的活动项目”，不追求一次性搬空历史。
+- 项目资料正文不导入，`hyb-oa` 只保留资料目录、链接和归档位置。
+- 对于涉密合同，CSV 里也只放元数据，不放正文摘要和附件路径明细。