修复在途还款被出借人维护卡死并按审批时资格登记付款后事实（09-17-company-loan-principal-repayment）

- A：出借人存在 reserved 额度占用时，身份关联与收款资料维护在出借人锁内
  返回 409 loan.lender_in_flight；页面禁用并提示，修正账户弹窗误导文案
- B：回单 OCR 认领、人工回单参与人、核销按审批时资格认定，不再因原审批人
  或出借员工事后离职/撤权、主数据停用而卡死；保留身份核实、版本与付款快照
  一致、审批独立性及回单匹配校验；付款前环节仍校验当前资格
- 测试：隔离 PostgreSQL 合成全流程，含确定性并发交错、付款后独立性反例、
  离职后经 OCR/人工复核核销、PC/手机按钮禁用；变异测试均变红
- 恢复手册：资金类数据恢复后先暂停付款，对照银行流水补齐并核对占用再开放
- design 按环节修订资格规则

注意：C（同金额回单传错批次错误核销）已复现但尚未修复，借款功能不具备
真实还款验收条件；未推送、未部署。

Co-Authored-By: Claude Opus 5.5 <[email protected]>

docs/trialrun/OPS7运维交接Runbook.md

@@ -112,6 +112,13 @@ QAOPS8 恢复演练方案（执行前必须再次确认窗口）：
 5. 使用目标 commit 或部署包启动应用，执行 `/ready`、public bundle、登录、报销详情、附件下载和财务台账检查。
 6. 记录 RTO/RPO 实测值、失败点、修正动作和是否允许进入 R7E 或上线窗口。
 
+资金类数据恢复后的开放条件（2026-10-05 起备份策略为部署前手动轻量快照，恢复点只到最近一次快照）：
+
+1. 恢复旧快照或旧备份后，先暂停报销付款和公司借款还款的制单、付款登记及新还款申请，不对外宣布可用。
+2. 对照银行流水核实快照时间点之后发生的付款与还款事实，在系统内按正常流程补齐登记，不直接改库。
+3. 逐个出借人核对借款本金余额与在途额度占用（未结清的还款申请），确认没有因恢复而重新变成“可申请”的已还本金后，才开放还款与付款。
+4. 未完成以上核对前，任何还款申请一律视为可能重复付款，不得复核或制单。
+
 R7E 前演练口径：RTO/RPO 先作为演练实测值记录，不承诺正式 SLA；若无法在确认窗口内完成恢复验证，R7E Go/No-Go 必须判定为 Pause 或 No-Go。
 
 QAOPS9 恢复演练 dry-run checklist（2026-05-16，先设计不执行生产恢复）：