WCFB 复用工作台企微打卡同步密钥

docs/管理员手册.md

@@ -309,7 +309,7 @@ ORDER BY e.employee_no;
 - 普通员工主导航不出现预算、AP、AI、完整差旅等当前首批不开放的备用模块；ERP 入口保持关闭。
 
 ## 11. 4 周观测操作法
-1. 每周一进入 `Portal`、`审批待办` 和 `考勤` 查看近 7 天登录覆盖率、审批积压、报销/OCR 异常、请假/考勤修正审批和企业微信入口错误；企微打卡同步缺配置时记录为 `SKIP`。
+1. 每周一进入 `Portal`、`审批待办` 和 `考勤` 查看近 7 天登录覆盖率、审批积压、报销/OCR 异常、请假/考勤修正审批和企业微信入口错误；企微打卡同步缺已授权应用 Secret 或 API 权限时记录为 `SKIP`。
 2. 每周五记录本周结论、关键阻塞、是否需要调整审批规则、报销规则、企业微信入口或导航。
 3. 若某周出现员工未登录、报销长期停留、发票重复处理不清、审批积压或企业微信绑定异常，优先修正规则和入口，不额外维护表格作为正式记录。
 4. 连续 4 周都达到预期后，再扩大到 P1 采购/费用、合同归档和项目轻管理试点。
@@ -336,7 +336,8 @@ ORDER BY e.employee_no;
    - `WECOM_REDIRECT_URI=https://oa.hyinda.com/api/auth/wecom/callback`
    - `WECOM_ALLOWED_RETURN_HOSTS=oa.hyinda.com`
 5. 先让管理员用账号密码登录，在 `个人设置` 完成一次绑定，再测试企业微信工作台直达；已绑定用户从手机企业微信进入时应直接看到移动工作台。
-6. 不配置企业微信原生审批模板作为正式流程；审批提醒使用企业微信消息，审批动作回到 OA 页面完成。
+6. 若启用 OA 同步企业微信打卡数据，在企业微信打卡 API「可调用接口的应用」中授权 `海音达工作台`。OA 默认可复用 `WECOM_AGENT_SECRET`；只有单独创建考勤同步应用时才额外配置 `WECOM_CHECKIN_SECRET`。
+7. 不配置企业微信原生审批模板作为正式流程；审批提醒使用企业微信消息，审批动作回到 OA 页面完成。
 
 ### 员工会看到的典型状态
 - 未绑定：登录页会提示“当前企业微信账号尚未绑定”，回退到账号密码登录。
@@ -386,7 +387,7 @@ ORDER BY e.employee_no;
    - `APP_ORIGIN=https://oa.example.com`
    - `COOKIE_SECURE=true`
    - `PUBLIC_SECURITY_HARDENING_ENABLED=true`
-3. 若启用企业微信入口，补齐：`WECOM_*` 与 `WECOM_ALLOWED_RETURN_HOSTS`。若启用 OA 驱动企业微信通讯录同步，还需补齐 `WECOM_CONTACT_SYNC_ENABLED=true`、`WECOM_CONTACT_SECRET`、`WECOM_CONTACT_DEFAULT_DEPARTMENT_ID`，并确认该 Secret 具备通讯录写权限。
+3. 若启用企业微信入口，补齐：`WECOM_*` 与 `WECOM_ALLOWED_RETURN_HOSTS`。若启用 OA 驱动企业微信通讯录同步，还需补齐 `WECOM_CONTACT_SYNC_ENABLED=true`、`WECOM_CONTACT_SECRET`、`WECOM_CONTACT_DEFAULT_DEPARTMENT_ID`，并确认该 Secret 具备通讯录写权限。若启用企微打卡同步，确认 `海音达工作台` 已被授权调用打卡 API；`WECOM_CHECKIN_SECRET` 留空时复用 `WECOM_AGENT_SECRET`，单独考勤同步应用才需要填写独立 Secret。
 4. 将 `OPENAPI_DOCS_ENABLED` 保持为 `false`，不要在公网生产暴露文档入口。
 5. 定期检查审计日志中的登录失败、Refresh 来源不匹配与涉密资料查看记录。
 6. 准备独立 smoke 账号，不使用老板、管理员或真实员工日常账号跑自动化；smoke 账号的角色和直属上级应按正式审批链配置。