WEGOV1 修正企微主办与自建留存路线

2026-05-19 18:44:39 +08:00
@@ -57,6 +57,7 @@ DCL7 已删除本文件中 R70-R91 的长流水历史，避免旧环境、旧开
 - 2026-05-19 WAPC2F 新增企微审批 POC 样件自动生成 dry-run：新增 `server/src/scripts/check-wecom-approval-fixtures.js` / `npm run check:wecom-approval-fixtures`，固定 `WECOM_AGENT_SECRET` 构建 OA-POC 请假/补卡最小通用模板候选和低风险审批申请候选；默认 dry-run 不获取写入 token、不调用企微写接口、不创建模板、不提交审批单。已以 `SYNC_ENV=0` 部署并远端执行 dry-run，报告 `/app/artifacts/qa-flow/wecom-approval-fixtures-20260519T045001Z/summary.json` 结论为 `PASS_FIXTURE_DRY_RUN_READY`：`SMOKE002 -> SMOKE101` 均 active、已绑定企微、非自审，payload 脱敏输出通过。live 创建 OA-POC 测试模板和测试审批单仍未批准、未执行；WAPC2 自动复跑需等 live 生成真实模板 ID 和 `sp_no` 后再执行。
 - 2026-05-19 WAPC2FLIVE 完成企微审批 OA-POC 样件 live 创建和 WAPC2 自动复跑：用户批准一次 live 创建并选择保留审计后，先以 `SYNC_ENV=0` 部署修正后的 runner，再远端 dry-run 复核 `/app/artifacts/qa-flow/wecom-approval-fixtures-20260519T053335Z/summary.json` 为 `PASS_FIXTURE_DRY_RUN_READY`。首次 live 写入 API 因旧 `create_template` payload 返回 `301086 zh_CN text empty`，未创建任何模板或审批单；随后将 payload 修正为官方 `template_name` + `property` controls 结构并复跑有效 live，报告 `/app/artifacts/qa-flow/wecom-approval-fixtures-20260519T053400Z/summary.json` 为 `PASS_FIXTURE_CREATED`，请假/补卡 OA-POC 测试模板和低风险测试审批单均创建成功，`checks.autoRerun.status=OK` 且结论 `PASS_APPROVAL_POC`。报告只记录脱敏 template_id / `sp_no` 前缀；测试模板和测试审批记录保留审计，不自动删除。本轮不配置真实回调、不做补偿拉取、不建镜像表、不进入 `wecom_attendance_approval_mirror_v1`。
 - 2026-05-19 WCBK1 实现并完成企微审批回调只读 POC：新增只读 `GET/POST /api/wecom/approval/callback`、企微回调验签/AES 解密/事件归一化服务、`npm run check:wecom-approval-callback-poc` 和 `wecom-callback` process gate。已以 `SYNC_ENV=0` 部署并复检 `/ready`；初始远端报告 `/app/artifacts/qa-flow/wecom-approval-callback-poc-20260519T065414Z/summary.json` 为 `PARTIAL_CALLBACK_NEEDS_CONFIG`，synthetic 回调验签、解密和审批事件解析通过。配置真实回调后，远端报告 `/app/artifacts/qa-flow/wecom-approval-callback-poc-20260519T083422Z/summary.json` 达到 `PASS_CALLBACK_URL_VERIFIED`；用户随后由 `SMOKE101` 同意一条现有 OA-POC 补卡测试审批单，复跑报告 `/app/artifacts/qa-flow/wecom-approval-callback-poc-20260519T092648Z/summary.json` 达到 `PASS_CALLBACK_EVENT_CONFIRMED`，脱敏证据记录 1 条已通过审批状态事件。本轮不建镜像表、不写 OA 业务数据、不写企微数据、不创建新模板或审批单。
+- 2026-05-19 WEGOV1 完成企微主办治理与 OA 自建留存路线修正：本轮只更新 Issue CSV 和事实源，不改业务代码、不部署、不写 OA/企微数据。结论固定为“企微成熟功能优先上线，OA 做自建数据留存、审计、入口、消息和应急兜底”；HR/考勤日常流程优先企微主办，报销、采购、合同、项目、付款、发票、银行回单、高敏附件和经营审计继续 OA 主办。后续顺序调整为 `WACP3 -> WREAD1 -> WADM1 -> WARCH1 -> wecom_attendance_approval_mirror_v1`，其中 WARCH1 先保证企微不可用时可查看已保存历史，再进入完整镜像增强。

 ## 关键证据索引

@@ -112,6 +113,7 @@ DCL7 已删除本文件中 R70-R91 的长流水历史，避免旧环境、旧开
 | WAPC2F | 已部署并公网 dry-run 通过：新增企微审批 POC 样件 runner；远端 dry-run 报告为 `PASS_FIXTURE_DRY_RUN_READY`，确认 `SMOKE002 -> SMOKE101` 非自审链、Secret 矩阵和脱敏报告边界 | `issues/2026-05-19_10-24-43-wecom-approval-fixture-auto-generate-v1.csv`、`server/src/scripts/check-wecom-approval-fixtures.js`、`/app/artifacts/qa-flow/wecom-approval-fixtures-20260519T045001Z/summary.json` |
 | WAPC2FLIVE | 已部署并完成 live 创建：修正 `create_template` payload 后，远端报告 `PASS_FIXTURE_CREATED`，OA-POC 请假/补卡测试模板和低风险测试审批单已创建并保留审计；自动复跑 WAPC2 为 `PASS_APPROVAL_POC`。不代表真实回调、补偿拉取、镜像模型或深度镜像已完成 | `issues/2026-05-19_13-24-12-wecom-approval-fixture-live-create-v1.csv`、`/app/artifacts/qa-flow/wecom-approval-fixtures-20260519T053400Z/summary.json` |
 | WCBK1 | 已完成公网真实回调只读 POC：只读回调端点和 synthetic runner 通过本地加密链路；远端配置真实回调后达到 `PASS_CALLBACK_URL_VERIFIED`，`SMOKE101` 同意现有 OA-POC 补卡测试单后达到 `PASS_CALLBACK_EVENT_CONFIRMED`；只保存脱敏事件证据，不写业务镜像 | `issues/2026-05-19_14-11-20-wecom-approval-callback-readonly-poc-v1.csv`、`/app/artifacts/qa-flow/wecom-approval-callback-poc-20260519T092648Z/summary.json` |
+| WEGOV1 | 已完成 docs-only 路线治理：固定企微主办域、OA 主办域、OA 留存域、OA 应急域、受控测试域和自动化/人工边界；明确 WCBK1 证据不直接放行完整镜像，后续先做 WACP3、WREAD1、WADM1 和 WARCH1 | `issues/2026-05-19_18-17-44-wecom-governance-owned-oa-archive-route-v1.csv` |

 ## 当前门禁

@@ -13,6 +13,7 @@
 - 报销、采购、费用、合同、项目、财务付款、AP 台账、代账交接、审计和敏感附件仍由 OA 主办，在 OA 内提交、审批、留痕、归档。
 - 请假、补卡、外出、加班等 HR/考勤员工日常审批优先在企业微信原生审批中提交和处理，OA 同步按域镜像；企业微信不可用时由管理员人工开启 OA 应急模式。
 - 企业微信作为手机工作台入口、免登/绑定、通讯录身份、消息通知、打卡、人事助手和 HR/考勤员工日常审批主操作端；OA 主办审批通过企业微信个人应用消息发送脱敏提醒并 deeplink 回 OA 处理。
+- WEGOV1 后固定 OA 自建留存目标：OA 数据库保存企微关键历史、完整外部关联键和必要业务快照，用于历史查看、对账、补偿拉取和后续恢复；企微不可用时先保证能查看以前数据，不承诺 V1 完整替代企微继续办理。
 - 采购单附件、合同正文、报价、供应商资料、发票、银行回单和代账资料不上传到企业微信原生审批或企业微信附件。
 - 简写口径：采购不进企微原生审批，合同不进企微原生审批，附件不进企微附件；企微只做提醒、入口和免登录回 OA。
 - WAPI/WRRA/WOUA-FIX 后固定“运行优先 + 差异收口先行”：近期先用入口、免登/绑定、脱敏消息、deeplink、通讯录 userid 清单、人事助手花名册读取和打卡读取；WOUA-FIX 已清零 OA active 缺企微测试账号差异，但 `PASS_WITH_FINDINGS` 剩余缺字段和归档绑定不直接放行深度镜像。WMSG1 已证明企业微信应用消息和 Deeplink 可用；WAPC1 只固化审批配置准备清单，不代表审批镜像或真实回调已实现。
@@ -21,7 +22,7 @@
 - 企业微信打卡用于原始采集，保留其定位、人脸、Wi-Fi、规则与设备能力。
 - OA 后续同步企业微信打卡规则、排班、记录、日报、月报和 HR/考勤审批镜像，形成正式考勤口径。
 - 请假、补卡、外出、加班等考勤修正正常在企业微信完成；OA 只在应急模式下接管，并在企微恢复后 dry-run 和自动回写。
- `wecom_hr_master_sync_v1` 已本地实现并部署公网完成受控验证；最终保持 `force_off`。WOUA-FIX 已按用户确认软归档 7 个缺企微测试账号，复检 OA active 5、企微 active 5、匹配 5、OA active 缺企微 0；剩余企微缺字段先接受不补，归档绑定保留审计。WCBK1 已完成审批回调 URL 验证和一条真实测试审批事件确认。后续考勤/审批镜像、应急接管、恢复回写或 RuleOps 仍必须先完成 WACP3 和 WADM1，再另建 `wecom_attendance_approval_mirror_v1`（承接旧口径 `wecom_native_approval_mirror_v1`）、`oa_hr_emergency_mode_v1`、`wecom_recovery_writeback_v1` 或 `wecom_ruleops_v1` 合同。
+- `wecom_hr_master_sync_v1` 已本地实现并部署公网完成受控验证；最终保持 `force_off`。WOUA-FIX 已按用户确认软归档 7 个缺企微测试账号，复检 OA active 5、企微 active 5、匹配 5、OA active 缺企微 0；剩余企微缺字段先接受不补，归档绑定保留审计。WCBK1 已完成审批回调 URL 验证和一条真实测试审批事件确认。WEGOV1 后，后续考勤/审批镜像、应急接管、恢复回写或 RuleOps 仍必须先完成 WACP3 补偿拉取、WREAD1 可读性门禁、WADM1 自建留存/镜像数据模型和 WARCH1 最小历史留存，再另建 `wecom_attendance_approval_mirror_v1`（承接旧口径 `wecom_native_approval_mirror_v1`）、`oa_hr_emergency_mode_v1`、`wecom_recovery_writeback_v1` 或 `wecom_ruleops_v1` 合同。

 ### P0-3 按域镜像定义
 - 企微主办域镜像到 OA：通讯录/人事助手、打卡、请假、补卡、外出、加班、假期余额和 HR/考勤规则。
@@ -36,7 +37,7 @@

 ### P0-5 WDRG 开发路线图门禁
 - WDRG 后采用“路线图门禁 + 单功能 Issue CSV”：路线图只控制阶段顺序、准入/退出门禁、并行规则和禁止跳阶段，具体功能仍单独方案、单独 Issue CSV、单独验证。
- 当前企微优先 HR/考勤路线顺序固定为：`WECOM-CAPABILITY-POC-V1` -> `wecom_hr_master_sync_v1` -> `runtime_first_wecom_enablement` -> `WOUA-FIX / WECOM-RUNTIME-READY-V1` -> `WAPC1 审批配置准备` -> `WAPC2 请假/补卡只读 POC` -> `WAPC2F 自动生成 POC 样件` -> `WAPC2 自动复跑` -> `WCBK1 回调只读 POC（真实事件已确认）` -> `WACP3 补偿拉取 POC` -> `WADM1 镜像数据模型设计` -> `wecom_attendance_approval_mirror_v1` -> `oa_hr_emergency_mode_v1` -> `wecom_recovery_writeback_v1` -> `wecom_ruleops_v1`。
+- 当前企微优先 HR/考勤路线顺序固定为：`WECOM-CAPABILITY-POC-V1` -> `wecom_hr_master_sync_v1` -> `runtime_first_wecom_enablement` -> `WOUA-FIX / WECOM-RUNTIME-READY-V1` -> `WAPC1 审批配置准备` -> `WAPC2 请假/补卡只读 POC` -> `WAPC2F 自动生成 POC 样件` -> `WAPC2FLIVE live 创建与 WAPC2 自动复跑` -> `WCBK1 回调只读 POC（真实事件已确认）` -> `WEGOV1 企微主办治理与自建留存路线修正` -> `WACP3 补偿拉取 POC` -> `WREAD1 审批可读性与误审批防护门禁` -> `WADM1 自建留存/镜像数据模型设计` -> `WARCH1 最小自建历史留存实现` -> `wecom_attendance_approval_mirror_v1` -> `oa_hr_emergency_mode_v1` -> `wecom_recovery_writeback_v1` -> `wecom_ruleops_v1`。
 - `WECOM-CAPABILITY-POC-V1` 已由 WCPC 收口，WHMS/WHMSLIVE 已完成 HR 主数据镜像实现和受控公网验证，WOUA-FIX 已完成测试账号差异收口；WRV1/WRA1/WMSG1 固定运行入口、OAuth/绑定、脱敏消息、Deeplink、通讯录、人事助手和打卡只读门禁。后续不得跳过 WAPC2F 自动样件、真实回调 POC、补偿拉取 POC 和镜像数据模型设计，直接开发考勤/审批镜像、OA 应急接管、恢复回写或 RuleOps 正式写入。
 - 线上缺陷、正式使用阻断、真实反馈扫尾和 QA-only 脚本维护可以另开合同并行；采购、合同、报销、付款、AP、代账和高敏附件继续 OA 主办，不混入企微 HR/考勤路线。
 - 路线图事实源为 [企微优先开发路线图](./企微优先开发路线图.md)；该路线图不代表任何运行时迁移能力已完成。
@@ -62,7 +63,7 @@
 - WHMSLIVE 公网验证中，`SMOKE002/测试员工`（脱敏 `oa_smoke***`）因企微侧缺手机号、邮箱和部门按 `missing_required_field` 跳过，证明缺字段不会写入占位数据；普通员工访问同步 API 已验证为 403。
 - 已有 OA 员工只更新安全主数据字段，不覆盖银行账户、身份证、工资、合同附件或历史审批。
 - WAPI 后 WHMS/WOUA 读取策略修正为通讯录 `user/list_id` + 可选成员详情 + 人事助手 `get_staff_info`，通讯录用 `WECOM_CONTACT_SECRET`，人事助手用 `WECOM_AGENT_SECRET`，不再靠 fallback 试错。
- WHMS/WOUA-FIX 不代表考勤/审批镜像、OA 应急接管、恢复回写或 RuleOps 已完成；WRA1 后 WRV1 的 `PASS_WITH_CONFIG_GAPS` 只代表运行优先主链路可用且曾有审批/回调配置缺口；WMSG1 只证明消息和 Deeplink 可用；WAPC1 只证明审批配置准备清单已固化；WAPC2 只证明只读 runner 已具备；WAPC2FLIVE 只证明 OA-POC 样件可创建并可读；WCBK1 已证明真实回调 URL 验证、验签/解密和一条现有 OA-POC 测试审批单事件脱敏留证。后续先做 WACP3 补偿拉取 POC 和 WADM1 镜像数据模型设计，不直接另建 `wecom_attendance_approval_mirror_v1`。
+- WHMS/WOUA-FIX 不代表考勤/审批镜像、OA 应急接管、恢复回写或 RuleOps 已完成；WRA1 后 WRV1 的 `PASS_WITH_CONFIG_GAPS` 只代表运行优先主链路可用且曾有审批/回调配置缺口；WMSG1 只证明消息和 Deeplink 可用；WAPC1 只证明审批配置准备清单已固化；WAPC2 只证明只读 runner 已具备；WAPC2FLIVE 只证明 OA-POC 样件可创建并可读；WCBK1 已证明真实回调 URL 验证、验签/解密和一条现有 OA-POC 测试审批单事件脱敏留证；WEGOV1 只修正路线和治理。后续先做 WACP3 补偿拉取 POC、WREAD1 可读性门禁、WADM1 自建留存/镜像模型设计和 WARCH1 最小历史留存，不直接另建 `wecom_attendance_approval_mirror_v1`。

 ---

@@ -2,8 +2,8 @@

 **文档状态**：当前企微 API 调研与本项目使用事实源。
 **分类**：集成事实源 / API 能力目录。
-**适用时间**：WAPI / WAPC1 / WAPC2 / WPROC1 / WPROC2 / WAPC2F / WAPC2FLIVE / WCBK1 之后。
-**关联 Issue**：`WAPI,WAPC1,WAPC2,WPROC1,WPROC2,WAPC2F,WAPC2FLIVE,WCBK1`。
+**适用时间**：WAPI / WAPC1 / WAPC2 / WPROC1 / WPROC2 / WAPC2F / WAPC2FLIVE / WCBK1 / WEGOV1 之后。
+**关联 Issue**：`WAPI,WAPC1,WAPC2,WPROC1,WPROC2,WAPC2F,WAPC2FLIVE,WCBK1,WEGOV1`。
 **最近核对**：2026-05-19。
 **不得误读**：本文只记录本项目会用到的企业微信官方 API 摘要、链接和项目决策，不复制官方文档全文，不保存 Secret、access token、完整 userid、手机号、邮箱或企微原始 payload。官方文档和企业微信后台权限配置始终是最终依据。

@@ -16,6 +16,8 @@
 - WPROC1 后默认自动化优先：能用 runner 自动生成、自动检查、自动复跑的，不要求人工手动操作；人工只处理写入批准、Secret/Token/EncodingAESKey 配置、企微后台无法 API 化配置、真机确认和风险拍板。
 - WPROC2 后，企微高风险合同必须先通过 `node scripts/qa/check-process-contract.mjs --baseline` 和对应 profile 的 process gate；WAPC2F 使用 `wecom-approval-fixture` profile。
 - 审批类 POC 默认禁止自审；WAPC2F 默认测试链为申请人 `SMOKE002`、审批人 `SMOKE101`，两者必须 active、已绑定企微、可见、不是同一 OA 员工且不是同一企微 userid。若 `SMOKE101` 不可用，不自动换人，返回配置缺口并问答确认。
+- WEGOV1 后不假设企业微信自建应用存在完整隔离 sandbox；企微开发默认使用真实企业内受控测试域、本地 synthetic 自动测试、公网 live runner 和少量真机确认。
+- OA 自建留存策略优先保存规范化业务数据、完整外部关联键和必要快照；报告和日志只输出脱敏前缀，不保存 Secret、token、EncodingAESKey、原始密文或无治理原始 payload。

 ## 2. Secret 矩阵

@@ -92,7 +94,7 @@ WAPC2 不代表真实回调、审批镜像、应急接管、恢复回写或 Rule

 WPROC1 将 WAPC2 之后的审批路线固定为：

-`WAPC2 -> WAPC2F 自动生成 POC 样件 -> WAPC2FLIVE live 创建与 WAPC2 自动复跑 -> WCBK1 回调只读 POC -> WACP3 补偿拉取 POC -> WADM1 镜像数据模型设计 -> wecom_attendance_approval_mirror_v1`
+`WAPC2 -> WAPC2F 自动生成 POC 样件 -> WAPC2FLIVE live 创建与 WAPC2 自动复跑 -> WCBK1 回调只读 POC -> WEGOV1 企微主办治理与自建留存路线修正 -> WACP3 补偿拉取 POC -> WREAD1 审批可读性与误审批防护门禁 -> WADM1 自建留存/镜像数据模型设计 -> WARCH1 最小自建历史留存实现 -> wecom_attendance_approval_mirror_v1`

 门禁要求：

@@ -103,13 +105,16 @@ WPROC1 将 WAPC2 之后的审批路线固定为：
 - `WAPC2F` 默认申请人 `SMOKE002`、审批人 `SMOKE101`；命中自审、同一企微 userid、不可见、未绑定或 inactive 时硬阻断。
 - `WCBK1` 必须先证明真实回调 URL 验证、验签、解密、幂等键和重复投递，不保存 Token、EncodingAESKey 或原始密文。
 - `WCBK1` 已完成真实回调 POC：`npm run check:wecom-approval-callback-poc -- --live` 先达到 `PASS_CALLBACK_URL_VERIFIED`，随后由 `SMOKE101` 同意一条现有 OA-POC 补卡测试审批单并复跑达到 `PASS_CALLBACK_EVENT_CONFIRMED`。报告只记录事件类型、审批类型、状态、脱敏 `sp_no`/模板前缀和幂等键摘要，不保存 Token、EncodingAESKey、原始 XML、密文、完整 `sp_no`、完整 userid、表单值、附件或评论。
+- `WEGOV1` 固定混合架构：企微主办域为 HR/考勤成熟功能，OA 主办域为财务经营和高敏业务，OA 留存域保存企微关键历史和完整外部关联键，OA 应急域只在企微不可用时人工开启。
 - `WACP3` 必须先证明按时间窗口批量获取审批单号并可调用 `getapprovaldetail` 拉详情；缺权限、可信 IP 或可见范围时记录 `SKIP/BLOCKED_BY_EXTERNAL_CONFIG`。
- `WADM1` 必须先设计镜像字段、状态机、幂等键、索引、隐私保留和迁移回滚方案，再进入 schema 或业务代码实现。
+- `WREAD1` 必须用真机或代表设备确认审批消息、审批列表和详情页的可读性；若快捷同意/驳回容易误操作，则模板调整或该模板回退 OA 主办。
+- `WADM1` 必须先设计自建留存和镜像字段、状态机、幂等键、索引、隐私保留和迁移回滚方案，再进入 schema 或业务代码实现。
+- `WARCH1` 必须先实现最小自建历史留存，让 OA 在企微 API 不可用时仍可查看已保存历史，再进入完整镜像增强。

 ## 7. 运行优先结论

 - 近期优先利用：企业微信工作台入口、OAuth/免登、绑定、个人应用消息、OA deeplink、通讯录 userid 清单、可选成员详情、人事助手花名册读取、打卡记录和打卡规则读取。
- 暂缓深度镜像：`wecom_attendance_approval_mirror_v1`、`oa_hr_emergency_mode_v1`、`wecom_recovery_writeback_v1`、`wecom_ruleops_v1` 均等 WOUA 差异收口或 WHMS 同步窗口决策、WAPC1 审批配置准备清单、WAPC2 请假/补卡只读 POC、WAPC2FLIVE 自动样件、WCBK1 回调只读 POC、WACP3 补偿拉取 POC、WADM1 镜像数据模型设计、外出/加班模板测试和打卡细项明确后再拆。
+- 暂缓深度镜像：`wecom_attendance_approval_mirror_v1`、`oa_hr_emergency_mode_v1`、`wecom_recovery_writeback_v1`、`wecom_ruleops_v1` 均等 WEGOV1 路线治理后的 WACP3 补偿拉取 POC、WREAD1 可读性门禁、WADM1 自建留存/镜像模型设计、WARCH1 最小历史留存、外出/加班模板测试和打卡细项明确后再拆；WOUA-FIX、WAPC2FLIVE 和 WCBK1 只作为已完成前置证据，不直接放行深度镜像。
 - OA 主办边界不变：报销、采购、费用、合同、项目、付款批次、AP、代账交接、审计和高敏附件继续在 OA 内完成，只向企业微信发送脱敏提醒和 OA 链接。

 ## 8. 后续使用要求
@@ -2,16 +2,19 @@

 **文档状态**：当前开发路线图事实源。  
 **分类**：开发治理 / 路线图。  
-**适用时间**：WDRG / WCP1 / WHMSLIVE / WOUA / WAPI / WRRA / WOUA-FIX / WRV1 / WRA1 / WMSG1 / WAPC1 / WAPC2 / WPROC1 / WPROC2 / WAPC2F / WAPC2FLIVE / WCBK1 之后。
-**关联 Issue**：`WDRG,WCP1,WHMS,WHMSLIVE,WOUA,WAPI,WRRA,WOUAFIX,WRV1,WRA1,WMSG1,WAPC1,WAPC2,WPROC1,WPROC2,WAPC2F,WAPC2FLIVE,WCBK1`。
+**适用时间**：WDRG / WCP1 / WHMSLIVE / WOUA / WAPI / WRRA / WOUA-FIX / WRV1 / WRA1 / WMSG1 / WAPC1 / WAPC2 / WPROC1 / WPROC2 / WAPC2F / WAPC2FLIVE / WCBK1 / WEGOV1 之后。
+**关联 Issue**：`WDRG,WCP1,WHMS,WHMSLIVE,WOUA,WAPI,WRRA,WOUAFIX,WRV1,WRA1,WMSG1,WAPC1,WAPC2,WPROC1,WPROC2,WAPC2F,WAPC2FLIVE,WCBK1,WEGOV1`。
 **最近审计**：2026-05-19。
-**不得误读**：本文只控制后续开发节奏、阶段顺序和门禁。WHMSLIVE 后只代表企微 HR 主数据镜像已部署并受控验证；WAPI 后进一步固定企微 API/Secret 口径并转为运行优先；WRRA 后明确 `PASS_WITH_FINDINGS` 只代表只读对账成功且存在差异，不代表企微考勤/审批镜像、OA 应急接管、恢复回写或 RuleOps 已完成运行时实现。WMSG1 只证明企业微信应用消息可达和 Deeplink 可回到 OA；WAPC1 只固化审批配置准备清单；WAPC2 只新增请假/补卡模板详情和低风险 `sp_no` 审批详情只读 POC，不代表真实回调或镜像能力已完成。WPROC1 后，WAPC2 不直接放行深度镜像，必须先完成自动样件、回调、补偿拉取和镜像数据模型设计门禁。WPROC2 只新增可执行 process gate。WAPC2FLIVE 已创建 OA-POC 请假/补卡测试模板和低风险测试审批单，并自动复跑 WAPC2 得到 `PASS_APPROVAL_POC`。WCBK1 已完成真实回调 URL 验证和一条现有 OA-POC 测试审批单事件确认，公网报告为 `PASS_CALLBACK_EVENT_CONFIRMED`；该证据只证明审批状态回调链路可达、可验签、可解密、可脱敏留证，不代表补偿拉取、镜像数据模型或 `wecom_attendance_approval_mirror_v1` 已完成。
+**不得误读**：本文只控制后续开发节奏、阶段顺序和门禁。WHMSLIVE 后只代表企微 HR 主数据镜像已部署并受控验证；WAPI 后进一步固定企微 API/Secret 口径并转为运行优先；WRRA 后明确 `PASS_WITH_FINDINGS` 只代表只读对账成功且存在差异，不代表企微考勤/审批镜像、OA 应急接管、恢复回写或 RuleOps 已完成运行时实现。WMSG1 只证明企业微信应用消息可达和 Deeplink 可回到 OA；WAPC1 只固化审批配置准备清单；WAPC2 只新增请假/补卡模板详情和低风险 `sp_no` 审批详情只读 POC，不代表真实回调或镜像能力已完成。WPROC1 后，WAPC2 不直接放行深度镜像，必须先完成自动样件、回调、补偿拉取和镜像数据模型设计门禁。WPROC2 只新增可执行 process gate。WAPC2FLIVE 已创建 OA-POC 请假/补卡测试模板和低风险测试审批单，并自动复跑 WAPC2 得到 `PASS_APPROVAL_POC`。WCBK1 已完成真实回调 URL 验证和一条现有 OA-POC 测试审批单事件确认，公网报告为 `PASS_CALLBACK_EVENT_CONFIRMED`；WEGOV1 后路线明确为“企微成熟功能优先上线，OA 做自建留存、审计、入口、消息和应急兜底”。该证据和路线只证明企微主办 HR/考勤的可用基础，不代表补偿拉取、可读性门禁、自建留存模型、最小历史留存或 `wecom_attendance_approval_mirror_v1` 已完成。

 ## 1. 路线图原则

 - 采用“路线图门禁 + 单功能 Issue CSV”的工程流程；路线图管顺序和边界，具体实现仍以每个功能的 Issue CSV 为准。
- 当前路线只覆盖企微优先 HR/考勤域改造：人事助手、通讯录、打卡、HR/考勤审批、OA 镜像、OA 应急接管、恢复回写和 RuleOps。
+- 当前路线只覆盖企微优先 HR/考勤域改造：人事助手、通讯录、打卡、HR/考勤审批、OA 自建留存、OA 镜像、OA 应急接管、恢复回写和 RuleOps。
 - 采购、费用、合同、项目、报销、付款批次、AP、代账交接、审计和高敏附件继续 OA 主办；企业微信只做脱敏消息、deeplink、入口和成熟能力参考。
+- WEGOV1 后固定四域边界：企微主办域为打卡、请假、补卡、外出、加班、假期余额和人事助手；OA 主办域为报销、采购、合同、项目、付款、发票、银行回单、高敏附件和经营审计；OA 留存域保存企微关键历史和完整外部关联键；OA 应急域只在企微不可用时由管理员人工开启。
+- OA 不重造企业微信完整打卡、考勤和 HR 产品；V1 目标是企微不可用时可以查看已保存历史，不是完整替代企微继续办理。
+- 企业微信自建应用不按完整隔离 sandbox 处理；后续默认使用真实企业内受控测试域、本地 synthetic 自动测试、公网 live runner 和少量真机确认。
 - 阶段未满足退出条件前不得跳阶段。线上缺陷、安全风险、正式使用阻断或真实反馈可以另开独立 Issue CSV，但不得混入企微 HR/考勤主路线。
 - ERP 未来不接入 OA；真实支付、图片 OCR、银行流水导入、复杂 BPM、审批设计器和重预算继续不进入当前路线。
 - WAPI 后所有企微开发必须先读 [企微 API 能力目录](./企微API能力目录.md)，先确认官方 API、Secret、权限、可信 IP、回调/模板和读写边界；运行时代码不得靠多个 Secret 试错。
@@ -35,11 +38,12 @@
 | `WMSG1` | 已完成真机确认 | 使用现有 `check:wecom-runtime-ready` runner 单次发送脱敏企微应用消息；报告 `/app/artifacts/qa-flow/wecom-runtime-ready-20260518T234431Z/summary.json` 显示 `checks.message.status=OK`、`errcode=0`、`recipientCount=1`，用户确认收到“OA 运行就绪检查”并可点击进入 OA 通知页面。 |
 | `WAPC1` | 配置准备清单已固化 | WMSG1 后的下一步改为审批配置准备清单：首批关注请假、补卡、外出、加班模板；准备模板 ID、低风险测试 `sp_no`、真实回调 URL/Token/EncodingAESKey 和后续 POC 准入项。本阶段不接真实回调、不调用写接口、不进入深度镜像。 |
 | `WAPC2` | 已部署并公网只读复跑 | 新增 QA-only `npm run check:wecom-approval-poc`，范围先锁定请假和补卡；固定 `WECOM_AGENT_SECRET` 调用 `POST /cgi-bin/oa/gettemplatedetail` 与 `POST /cgi-bin/oa/getapprovaldetail`，报告只输出脱敏模板 ID/`sp_no` 前缀、字段/节点计数和错误分类。公网报告 `/app/artifacts/qa-flow/wecom-approval-poc-20260519T020429Z/summary.json` 为 `PARTIAL_APPROVAL_POC_NEEDS_CONFIG`：Secret 可用，但缺请假/补卡模板 ID 和两条低风险 `sp_no`，未伪造成 PASS。 |
-| `WPROC1` | 路线与流程门禁已修正 | 固化三层门禁、Definition of Ready、Definition of Done、自动化优先和非自审规则。后续路线调整为 `WAPC2 -> WAPC2F 自动生成 POC 样件 -> WAPC2FLIVE live 创建与 WAPC2 自动复跑 -> WCBK1 回调只读 POC -> WACP3 补偿拉取 POC -> WADM1 镜像数据模型设计 -> wecom_attendance_approval_mirror_v1`。WAPC2F 默认测试链为 `SMOKE002 -> SMOKE101`，若 `SMOKE101` 不可用，不自动换人，先问答确认。 |
+| `WPROC1` | 路线与流程门禁已修正 | 固化三层门禁、Definition of Ready、Definition of Done、自动化优先和非自审规则。WAPC2F 默认测试链为 `SMOKE002 -> SMOKE101`，若 `SMOKE101` 不可用，不自动换人，先问答确认；后续当前顺序以 WEGOV1 行和阶段表为准。 |
 | `WPROC2` | 流程自动化门禁已新增 | 新增 `scripts/qa/check-process-contract.mjs`，把 WPROC1 的三层门禁、DoR/DoD、自动化优先、非自审、Secret 固定、live 写入开关、缺配置分类和脱敏边界升级为可执行 process gate；WAPC2F 实施前必须先通过 baseline gate 和 `wecom-approval-fixture` profile。 |
 | `WAPC2F` | 已实现并公网 dry-run 通过 | 新增 QA-only `npm run check:wecom-approval-fixtures`，固定 `WECOM_AGENT_SECRET` 构建 OA-POC 请假/补卡最小通用模板和低风险审批申请 payload；默认 dry-run 不获取写入 token、不调用企微写接口。公网报告 `/app/artifacts/qa-flow/wecom-approval-fixtures-20260519T045001Z/summary.json` 为 `PASS_FIXTURE_DRY_RUN_READY`：`SMOKE002 -> SMOKE101` active、已绑定、非自审。 |
 | `WAPC2FLIVE` | 已完成 live 创建与 WAPC2 自动复跑 | 用户批准后执行一次 live 创建窗口：第一次旧 payload 返回 `301086` 且未创建任何模板或审批单；修正为官方 `template_name` + `property` controls 后，远端报告 `/app/artifacts/qa-flow/wecom-approval-fixtures-20260519T053400Z/summary.json` 为 `PASS_FIXTURE_CREATED`，已创建 OA-POC 请假/补卡测试模板和低风险测试审批单，`checks.autoRerun.status=OK` 且 `PASS_APPROVAL_POC`。测试模板和测试审批记录保留审计，不自动删除；仍不放行深度镜像。 |
 | `WCBK1` | 真实回调 URL 与事件已确认 | 新增只读 `GET/POST /api/wecom/approval/callback`、`npm run check:wecom-approval-callback-poc` 和 `wecom-callback` process gate。远端配置回调 URL、Token 和 EncodingAESKey 后，live runner 报告 `/app/artifacts/qa-flow/wecom-approval-callback-poc-20260519T083422Z/summary.json` 达到 `PASS_CALLBACK_URL_VERIFIED`；用户随后由 `SMOKE101` 同意一条现有 OA-POC 补卡测试审批单，复跑报告 `/app/artifacts/qa-flow/wecom-approval-callback-poc-20260519T092648Z/summary.json` 达到 `PASS_CALLBACK_EVENT_CONFIRMED`，脱敏证据记录 `eventCount=1`、状态 `已通过`。 |
+| `WEGOV1` | 路线和治理已调整 | 明确混合架构：企微成熟功能优先上线，OA 做自建数据留存、审计、入口、消息和应急兜底；固化受控测试域、自动化优先和人工边界；后续顺序调整为 WACP3、WREAD1、WADM1、WARCH1 后再评估深度镜像。 |

 ## 3. 阶段路线

@@ -52,12 +56,15 @@
 | 5 | `WAPC2F 自动生成 POC 样件` | 尽量用 QA-only runner 自动创建 OA-POC 请假/补卡测试模板和低风险测试审批单。 | WAPC2 已证明 Secret 可用但缺模板或 `sp_no`；WPROC2 baseline gate 和 WAPC2F profile gate 通过；dry-run 先通过；live 写入需用户批准。 | 已完成：`PASS_FIXTURE_CREATED`。创建使用显式 `--live --create-templates --submit-test-approvals` 和单次进程 `WECOM_APPROVAL_FIXTURE_WRITE=1`；申请人 `SMOKE002`、审批人 `SMOKE101` 通过 active、绑定、可见和非自审预检；报告只记录脱敏模板 ID / `sp_no` 前缀。 |
 | 6 | `WAPC2 自动复跑` | 使用 WAPC2F 生成的脱敏模板 ID 和 `sp_no` 自动复跑只读 POC。 | WAPC2F live 写入生成全部或部分样件。 | 已完成：live 报告中 `checks.autoRerun.status=OK`，请假/补卡模板详情与审批详情可读，结论 `PASS_APPROVAL_POC`。 |
 | 7 | `WCBK1 回调只读 POC` | 证明真实回调 URL 验证、验签、解密、幂等键和重复投递处理。 | 回调 URL、Token、EncodingAESKey 由部署环境配置；不得写入仓库或聊天。 | 已完成：`PASS_CALLBACK_EVENT_CONFIRMED`。远端 live URL 验证通过后，由 `SMOKE101` 处理现有 OA-POC 补卡测试单触发真实事件；报告只记录脱敏事件类型、状态、`sp_no`/模板前缀和幂等键摘要。 |
-| 8 | `WACP3 补偿拉取 POC` | 证明按时间窗口批量获取审批单号并可拉取审批详情，作为回调丢失补偿。 | WAPC2 或 WAPC2F 至少能提供低风险样例；官方 API 和权限明确。 | 能按窗口拿到审批单号并拉详情；不能伪造成 PASS，权限或可信 IP 问题记录 `SKIP/BLOCKED_BY_EXTERNAL_CONFIG`。 |
-| 9 | `WADM1 镜像数据模型设计` | 先设计镜像字段、状态机、幂等键、索引、隐私保留和回滚方案。 | WAPC2/WAPC2F、WCBK1、WACP3 结论可支撑模型设计。 | 数据模型、状态流、幂等、索引、脱敏、审计和迁移回滚方案经 Issue CSV 固化后，才允许实现镜像。 |
-| 10 | `wecom_attendance_approval_mirror_v1` | 企微打卡、请假、补卡、外出、加班、假期余额和审批历史镜像到 OA。 | 运行优先门禁完成且 WOUA 差异已收口或有明确处理决策；WAPC2FLIVE/WCBK1/WACP3/WADM1 均完成；外出/加班模板和打卡规则细项明确。 | OA 可查询企微 HR/考勤镜像、附件摘要、审批历史、考勤解释和审计；不把 OA 主办高敏审批迁到企微。 |
-| 11 | `oa_hr_emergency_mode_v1` | 企业微信不可用时，由管理员人工开启 OA HR/考勤应急接管。 | 企微镜像数据可支撑对账；OA 应急入口、权限和审计方案明确。 | 管理员可填写原因、范围、预计结束时间和责任人后开启/关闭；应急单据带 `EMERGENCY` 标记。 |
-| 12 | `wecom_recovery_writeback_v1` | 企微恢复后，OA 应急数据先 dry-run，再回写企微。 | 应急接管模式完成；企微写回接口、冲突规则和回滚策略已单独批准。 | 系统生成成功、失败、跳过和冲突清单；无冲突项可自动回写，冲突进入人工确认。 |
-| 13 | `wecom_ruleops_v1` | AI 草拟企微规则、生成差异报告和 dry-run，人工确认后写入企微。 | 前述同步/回写链路稳定；企微规则 API 能力和权限已验证。 | 每次写入保存前后快照、确认人、API `errcode`、失败原因、回滚建议和审计记录。 |
+| 8 | `WEGOV1 企微主办治理与自建留存路线修正` | 固化混合主办边界、OA 自建留存策略、受控测试域和后续顺序。 | WCBK1 已确认真实回调事件；用户选择优先利用企微成熟功能并要求 OA 保存关键历史。 | docs-only 收口；文档明确企微主办域、OA 主办域、OA 留存域、OA 应急域、自动化与人工边界。 |
+| 9 | `WACP3 补偿拉取 POC` | 证明按时间窗口批量获取审批单号并可拉取审批详情，作为回调丢失补偿。 | WEGOV1 完成；WAPC2/WAPC2FLIVE/WCBK1 已提供低风险样例、详情读取和真实事件证据；官方 API 和权限明确。 | 能按窗口拿到审批单号并拉详情；能比对 WCBK1 回调事件；不能伪造成 PASS，权限或可信 IP 问题记录 `SKIP/BLOCKED_BY_EXTERNAL_CONFIG`。 |
+| 10 | `WREAD1 企微审批可读性与误审批防护门禁` | 真机确认请假、补卡、外出、加班在企微里是否看得清再批，评估快捷同意/驳回误操作风险。 | WACP3 完成或并行准备低风险样例；审批模板可在企微手机端由代表审批人查看。 | 输出 `PASS_READABLE`、`PASS_WITH_TEMPLATE_ADJUSTMENTS` 或 `FAIL_KEEP_OA_PRIMARY_FOR_THIS_TEMPLATE`；不可读模板不得进入正式镜像。 |
+| 11 | `WADM1 自建留存/镜像数据模型设计` | 先设计 OA 留存字段、状态机、幂等键、索引、隐私保留、审计和迁移回滚方案。 | WACP3 证明补偿拉取可用；WREAD1 明确模板可读性或回退策略。 | 模型覆盖审批、打卡、人事关键快照、回调事件和补偿拉取记录；设计经 Issue CSV 固化后才允许 schema 或业务代码实现。 |
+| 12 | `WARCH1 最小自建历史留存实现` | 只读保存企微审批、打卡、人事关键快照，先满足企微不可用时可查看历史。 | WADM1 完成并批准 schema/接口实现。 | OA 可查看已保存历史摘要和完整外部关联键；报告和日志只输出脱敏前缀；不保存 Secret、token、EncodingAESKey、原始密文或无治理原始 payload。 |
+| 13 | `wecom_attendance_approval_mirror_v1` | 企微打卡、请假、补卡、外出、加班、假期余额和审批历史镜像到 OA。 | WARCH1 稳定；外出/加班模板和打卡细项明确；运行优先门禁和用户一致性仍满足。 | OA 可查询企微 HR/考勤镜像、附件摘要、审批历史、考勤解释和审计；不把 OA 主办高敏审批迁到企微。 |
+| 14 | `oa_hr_emergency_mode_v1` | 企业微信不可用时，由管理员人工开启 OA HR/考勤应急接管。 | 自建历史留存和镜像数据可支撑对账；OA 应急入口、权限和审计方案明确。 | 管理员可填写原因、范围、预计结束时间和责任人后开启/关闭；应急单据带 `EMERGENCY` 标记。 |
+| 15 | `wecom_recovery_writeback_v1` | 企微恢复后，OA 应急数据先 dry-run，再回写企微。 | 应急接管模式完成；企微写回接口、冲突规则和回滚策略已单独批准。 | 系统生成成功、失败、跳过和冲突清单；无冲突项可自动回写，冲突进入人工确认。 |
+| 16 | `wecom_ruleops_v1` | AI 草拟企微规则、生成差异报告和 dry-run，人工确认后写入企微。 | 前述同步/回写链路稳定；企微规则 API 能力和权限已验证。 | 每次写入保存前后快照、确认人、API `errcode`、失败原因、回滚建议和审计记录。 |

 ## 4. 每阶段固定门禁

@@ -134,7 +141,7 @@ POC 默认只读或低风险探测。任何生产写操作、企微规则写入
 - `callback.config=NEEDS_CONFIG`：本轮只读报告未证明真实回调配置存在。
 - `hr.staff_update_classification=NEEDS_API_POC`：人事助手资料更新属于写接口，需单独批准后再做低风险 POC。

-WCPC 已允许进入 `wecom_hr_master_sync_v1`。WHMS 已承接该阶段，完成本地实现、部署和受控公网验证；考勤/审批镜像仍需先补回调配置、补偿拉取和镜像数据模型，并按 WPROC1 顺序完成 WCBK1/WACP3/WADM1 后再另建 `wecom_attendance_approval_mirror_v1` 合同，不得把 WCPC、WHMS 或 WAPC2FLIVE 误读为考勤/审批运行时迁移已完成。
+WCPC 已允许进入 `wecom_hr_master_sync_v1`。WHMS 已承接该阶段，完成本地实现、部署和受控公网验证；考勤/审批镜像仍需先完成回调证据、补偿拉取、审批可读性、自建留存模型和最小历史留存，并按 WEGOV1 顺序完成 WACP3/WREAD1/WADM1/WARCH1 后再另建 `wecom_attendance_approval_mirror_v1` 合同，不得把 WCPC、WHMS、WAPC2FLIVE 或 WCBK1 误读为考勤/审批运行时迁移已完成。

 ## 9. WHMS HR 主数据镜像状态

@@ -161,7 +168,7 @@ WCPC 已允许进入 `wecom_hr_master_sync_v1`。WHMS 已承接该阶段，完
 - 公网验证窗口中临时将 `wecom_hr_master_sync_v1` 设为 `force_on`，对既有低风险测试号 `SMOKE002/测试员工`（脱敏 `oa_smoke***`）执行 dry-run 和显式 userids apply；企微读取链路通过，因企微侧缺手机号、邮箱和部门，按规则记录 `missing_required_field` 并跳过，未写入 OA 主数据。
 - 已验证普通员工访问同步 API 返回 403；验证结束后 `wecom_hr_master_sync_v1` 已恢复为 `force_off`。
 - 未执行生产真实员工批量 `apply`；后续若要正式批量同步真实员工，必须另行批准并先处理企微必填字段质量。
- 下一步先处理 WOUA 用户一致性差异或明确 WHMS 批量同步窗口；`wecom_attendance_approval_mirror_v1` 暂缓到 WAPC2FLIVE 自动样件和 WAPC2 自动复跑证据、真实回调 POC、补偿拉取 POC、镜像数据模型和打卡细项明确后再另建合同。当前 WAPC2FLIVE 与 WAPC2 自动复跑已完成，因此下一阶段默认应进入 `WCBK1 回调只读 POC` 准备。
+- 当前 WOUA 用户一致性差异已由 WOUA-FIX 收口，WAPC2FLIVE 自动样件、WAPC2 自动复跑和 WCBK1 真实回调事件确认已完成；`wecom_attendance_approval_mirror_v1` 仍暂缓到 WEGOV1 后的 WACP3 补偿拉取、WREAD1 可读性门禁、WADM1 自建留存/镜像模型、WARCH1 最小历史留存和打卡细项明确后再另建合同。

 ## 10. WRRA 路线修正与下一阶段

@@ -216,12 +223,15 @@ WAPC2 承接 WAPC1 的配置准备清单，但范围先收窄到请假和补卡
 - 报告输出到 `artifacts/qa-flow/wecom-approval-poc-<timestamp>/summary.json`，只记录类型、配置状态、脱敏 ID 前缀、字段类型计数、审批节点计数和错误分类。
 - 若缺模板 ID 或低风险测试 `sp_no`，结论必须为 `PARTIAL_APPROVAL_POC_NEEDS_CONFIG`；若权限、可信 IP、可见范围、Secret 或企微 API 错误阻断，结论必须为 `SKIP/BLOCKED_BY_EXTERNAL_CONFIG`。

-WAPC2 通过后，下一步不是直接进入 `wecom_attendance_approval_mirror_v1`。WPROC1/WAPC2F 固定后续必须先做：
+WAPC2 通过后，下一步不是直接进入 `wecom_attendance_approval_mirror_v1`。WPROC1/WAPC2F/WCBK1/WEGOV1 固定后续必须先做：

 1. `WAPC2F 自动生成 POC 样件`：dry-run 已通过；默认申请人 `SMOKE002`、审批人 `SMOKE101`，两者必须 active、已绑定企微、可见、不是同一 OA 员工且不是同一企微 userid；WAPC2FLIVE 已在用户批准后创建 OA-POC 请假/补卡测试模板和低风险测试审批单，记录脱敏报告 `/app/artifacts/qa-flow/wecom-approval-fixtures-20260519T053400Z/summary.json`。
 2. `WAPC2 自动复跑`：已由 WAPC2FLIVE 自动传入生成的模板 ID 和 `sp_no`，只读复跑结论为 `PASS_APPROVAL_POC`。
 3. `WCBK1 回调只读 POC`：已证明 URL 验证、验签、解密、幂等摘要和真实审批状态事件脱敏留证，结论 `PASS_CALLBACK_EVENT_CONFIRMED`。
-4. `WACP3 补偿拉取 POC`：证明按时间窗口拿到审批单号并可拉取审批详情。
-5. `WADM1 镜像数据模型设计`：先设计字段、状态机、幂等键、索引和隐私保留边界。
+4. `WEGOV1 企微主办治理与自建留存路线修正`：已明确企微主办域、OA 主办域、OA 留存域、OA 应急域和受控测试域。
+5. `WACP3 补偿拉取 POC`：证明按时间窗口拿到审批单号并可拉取审批详情。
+6. `WREAD1 审批可读性与误审批防护门禁`：真机确认审批消息、列表和详情页是否看得清，快捷同意/驳回是否存在误操作风险。
+7. `WADM1 自建留存/镜像数据模型设计`：先设计字段、状态机、幂等键、索引和隐私保留边界。
+8. `WARCH1 最小自建历史留存实现`：先只读保存企微审批、打卡和人事关键快照，保证企微不可用时可查看历史。

 上述门禁完成前，不拆 `wecom_attendance_approval_mirror_v1`。
@@ -3,10 +3,10 @@
 **文档状态**：当前开发交付事实源。
 **分类**：开发治理。
 **适用范围**：hyb-oa 所有非微小代码、文档、测试、脚本和部署准备变更。
-**关联 Issue**：`GOV8,WDRG,WPROC1,WPROC2`。
+**关联 Issue**：`GOV8,WDRG,WPROC1,WPROC2,WEGOV1`。
 **最近审计**：2026-05-19。
 **不得误读**：本文定义开发和变更流程，不替代具体业务 PRD、模块规约或测试规约。
-**路线口径**：开发必须围绕最新 Issue CSV 执行；WDRG 后企微优先 HR/考勤改造必须先读 [企微优先开发路线图](./企微优先开发路线图.md)，再按单功能 Issue CSV 实施。采购、合同、报销、财务、AP、代账和高敏附件继续 OA 主办，ERP 未来不接入 OA。
+**路线口径**：开发必须围绕最新 Issue CSV 执行；WDRG/WEGOV1 后企微优先 HR/考勤改造必须先读 [企微优先开发路线图](./企微优先开发路线图.md)，再按单功能 Issue CSV 实施。企微成熟功能优先上线，OA 做自建留存、审计、入口、消息和应急兜底；采购、合同、报销、财务、AP、代账和高敏附件继续 OA 主办，ERP 未来不接入 OA。

 本文回答“一个变更怎么开始、怎么审查、什么时候提交、怎么交付”。测试细节以 [测试规约与回归门禁](./测试规约与回归门禁.md) 为准。

@@ -22,7 +22,7 @@ WDRG 后，企微优先 HR/考勤改造增加一层路线图门禁；WAPI/WRRA

 `需求事实源 -> 设计门禁 -> 路线图门禁 -> 企微能力 POC -> 单功能 Issue CSV -> 方案批准 -> 开发实现 -> review -> QA 回归 -> 部署 / 公网验证`

-路线图只控制顺序、边界、准入和退出条件；具体接口、schema、页面、权限、审计和测试仍必须在单功能 Issue CSV 中声明。阶段未退出前不得跳阶段：WOUA-FIX 已完成测试账号差异收口，但 `PASS_WITH_FINDINGS` 的剩余缺字段/归档绑定不直接放行深度镜像；WRA1 已完成 `WECOM-RUNTIME-READY-V1` 的运行入口、OAuth/绑定、脱敏消息、通讯录、人事助手和打卡只读门禁修正；WMSG1 已完成真实应用消息和 Deeplink 确认。当前 `PASS_WITH_CONFIG_GAPS` 只表示运行优先主链路可用，WAPC1 只表示审批配置准备清单已固化；WAPC2 只证明请假/补卡模板详情和审批详情只读 runner 已具备。WAPC2FLIVE 已创建 OA-POC 请假/补卡测试样件并自动复跑 WAPC2 通过；WCBK1 已完成回调只读代码、synthetic 验签/解密/解析、真实 URL 验证和一条现有 OA-POC 测试审批单事件确认。审批镜像前仍必须先完成 WACP3 补偿拉取 POC 和 WADM1 镜像数据模型设计。
+路线图只控制顺序、边界、准入和退出条件；具体接口、schema、页面、权限、审计和测试仍必须在单功能 Issue CSV 中声明。阶段未退出前不得跳阶段：WOUA-FIX 已完成测试账号差异收口，但 `PASS_WITH_FINDINGS` 的剩余缺字段/归档绑定不直接放行深度镜像；WRA1 已完成 `WECOM-RUNTIME-READY-V1` 的运行入口、OAuth/绑定、脱敏消息、通讯录、人事助手和打卡只读门禁修正；WMSG1 已完成真实应用消息和 Deeplink 确认。当前 `PASS_WITH_CONFIG_GAPS` 只表示运行优先主链路可用，WAPC1 只表示审批配置准备清单已固化；WAPC2 只证明请假/补卡模板详情和审批详情只读 runner 已具备。WAPC2FLIVE 已创建 OA-POC 请假/补卡测试样件并自动复跑 WAPC2 通过；WCBK1 已完成回调只读代码、synthetic 验签/解密/解析、真实 URL 验证和一条现有 OA-POC 测试审批单事件确认。WEGOV1 后，审批镜像前仍必须先完成 WACP3 补偿拉取 POC、WREAD1 可读性门禁、WADM1 自建留存/镜像数据模型设计和 WARCH1 最小历史留存。

 ## 2. Issue 生命周期

@@ -97,7 +97,7 @@ WDRG 后，企微优先 HR/考勤路线采用“路线图门禁 + 单功能 Issu

 当前企微优先路线顺序固定为：

-`WECOM-CAPABILITY-POC-V1 -> wecom_hr_master_sync_v1 -> runtime_first_wecom_enablement -> WOUA-FIX / WECOM-RUNTIME-READY-V1 -> WAPC1 审批配置准备 -> WAPC2 请假/补卡只读 POC -> WAPC2F 自动生成 POC 样件 -> WAPC2FLIVE live 创建与 WAPC2 自动复跑 -> WCBK1 回调只读 POC（真实事件已确认） -> WACP3 补偿拉取 POC -> WADM1 镜像数据模型设计 -> wecom_attendance_approval_mirror_v1 -> oa_hr_emergency_mode_v1 -> wecom_recovery_writeback_v1 -> wecom_ruleops_v1`
+`WECOM-CAPABILITY-POC-V1 -> wecom_hr_master_sync_v1 -> runtime_first_wecom_enablement -> WOUA-FIX / WECOM-RUNTIME-READY-V1 -> WAPC1 审批配置准备 -> WAPC2 请假/补卡只读 POC -> WAPC2F 自动生成 POC 样件 -> WAPC2FLIVE live 创建与 WAPC2 自动复跑 -> WCBK1 回调只读 POC（真实事件已确认） -> WEGOV1 企微主办治理与自建留存路线修正 -> WACP3 补偿拉取 POC -> WREAD1 审批可读性与误审批防护门禁 -> WADM1 自建留存/镜像数据模型设计 -> WARCH1 最小自建历史留存实现 -> wecom_attendance_approval_mirror_v1 -> oa_hr_emergency_mode_v1 -> wecom_recovery_writeback_v1 -> wecom_ruleops_v1`

 允许并行处理线上缺陷、正式使用阻断、真实反馈扫尾和 QA-only 脚本维护；但采购、合同、报销、付款、AP、代账和高敏附件等 OA 主办域必须另开合同，不得混入企微 HR/考勤路线。

@@ -132,6 +132,8 @@ Definition of Done：
 - 能用 runner 自动生成、自动检查、自动复跑的，不要求人工手动操作。
 - 人工只处理写入批准、Secret/Token/EncodingAESKey 配置、企微后台无法 API 化的配置、真机确认和风险拍板。
 - 缺配置必须输出 `NEEDS_CONFIG` 或 `SKIP/BLOCKED_BY_EXTERNAL_CONFIG`，不得伪造成 PASS。
+- 企业微信自建应用不按完整隔离 sandbox 处理；默认用真实企业内受控测试域、synthetic 自动测试、公网 live runner 和少量真机确认。
+- 自建留存相关合同必须说明保存哪些规范化数据和外部关联键，以及不保存哪些 Secret、token、密文或无治理原始 payload。

 WPROC2 后，三层门禁先由可执行 process gate 承接：

@@ -20,7 +20,7 @@

 ## 最近事实源链

-R6 -> PC6 -> PA6 -> FL6 -> AP6 -> RI6 -> LP6 -> ME6/QG6 -> DG7/MRF7 -> MIA7 -> MIF7/MIF7T(公网部署与带凭据公网复检已收口) -> DG8 -> DG9 -> R7E -> FBA -> QAOPS9/P2D -> P2-ORG -> P2-FIN-DECISION -> P2-FIN-V1 -> P2-OCR-SAMPLE -> P2Q -> P2AUTO -> P2AF -> P2-FIN-LIVE-DECISION -> P2-FIN-LIVE -> PRELAUNCH -> CASHIER-VOUCHER-V1 -> LAUNCH-DEPLOY-FINANCE -> FIN-PROD-ENABLE -> ACCOUNTING-HANDOFF-V1 -> SYSTEM-COMPLETE-GATE -> LAUNCH-OPS-V1 -> REQ-COMPLETE-AUDIT -> ATTV1 -> LAUNCH-AUTO-OPS-V1 -> AUTO-REMAINING-CLOSEOUT -> HR-WECOM-DIRECTORY-V1 -> HRWD-CONTACT-LIVE-TEST -> WCFB -> WFOC -> DBWFOC -> WFDG -> WDRG -> WCP1 -> WCPC -> WHMS -> WHMSLIVE -> WOUA -> WAPI -> WRRA -> WOUA-FIX -> WRV1 -> WRA1 -> WMSG1 -> WAPC1 -> WAPC2 -> WPROC1 -> WPROC2 -> WAPC2F dry-run -> WAPC2FLIVE -> WCBK1。
+R6 -> PC6 -> PA6 -> FL6 -> AP6 -> RI6 -> LP6 -> ME6/QG6 -> DG7/MRF7 -> MIA7 -> MIF7/MIF7T(公网部署与带凭据公网复检已收口) -> DG8 -> DG9 -> R7E -> FBA -> QAOPS9/P2D -> P2-ORG -> P2-FIN-DECISION -> P2-FIN-V1 -> P2-OCR-SAMPLE -> P2Q -> P2AUTO -> P2AF -> P2-FIN-LIVE-DECISION -> P2-FIN-LIVE -> PRELAUNCH -> CASHIER-VOUCHER-V1 -> LAUNCH-DEPLOY-FINANCE -> FIN-PROD-ENABLE -> ACCOUNTING-HANDOFF-V1 -> SYSTEM-COMPLETE-GATE -> LAUNCH-OPS-V1 -> REQ-COMPLETE-AUDIT -> ATTV1 -> LAUNCH-AUTO-OPS-V1 -> AUTO-REMAINING-CLOSEOUT -> HR-WECOM-DIRECTORY-V1 -> HRWD-CONTACT-LIVE-TEST -> WCFB -> WFOC -> DBWFOC -> WFDG -> WDRG -> WCP1 -> WCPC -> WHMS -> WHMSLIVE -> WOUA -> WAPI -> WRRA -> WOUA-FIX -> WRV1 -> WRA1 -> WMSG1 -> WAPC1 -> WAPC2 -> WPROC1 -> WPROC2 -> WAPC2F dry-run -> WAPC2FLIVE -> WCBK1 -> WEGOV1。

 - R6、PC6、PA6、FL6、AP6、RI6、LP6 已完成并部署。
 - ME6 自动化、公网视觉矩阵和 `ME6-3` 代表性企业微信真机门禁已完成。
@@ -71,11 +71,12 @@ R6 -> PC6 -> PA6 -> FL6 -> AP6 -> RI6 -> LP6 -> ME6/QG6 -> DG7/MRF7 -> MIA7 -> M
 - WMSG1 是 WRA1 后的企微应用消息实发与 Deeplink 真机验证合同：使用现有 runner 单次设置 `WECOM_RUNTIME_TEST_SEND=1`，向管理员本人对应 OA 员工号 `HYD000006` 发送脱敏消息；报告 `/app/artifacts/qa-flow/wecom-runtime-ready-20260518T234431Z/summary.json` 显示 `errcode=0`、`recipientCount=1`，用户确认收到消息并可点击进入 OA 通知页面。审批模板、测试 `sp_no` 和真实回调仍需后续配置。
 - WAPC1 是 WMSG1 后的企微审批配置准备清单合同：只固化请假、补卡、外出、加班模板准备项、低风险 `sp_no`、真实回调配置项和 POC 准入，不开发镜像。
 - WAPC2 是 WAPC1 后的请假/补卡审批只读 POC 合同：新增 `server/src/scripts/check-wecom-approval-poc.js` 和 `npm run check:wecom-approval-poc`，固定 `WECOM_AGENT_SECRET` 读取 `gettemplatedetail`/`getapprovaldetail`；缺模板 ID 或低风险 `sp_no` 时报告 `PARTIAL_APPROVAL_POC_NEEDS_CONFIG`，不放行深度镜像。
- WPROC1 是 WAPC2 后的企微路线与开发流程工程化修正合同：只更新合同和事实源，不写业务代码、不部署、不写 OA/企微数据；固定后续顺序为 `WAPC2F -> WAPC2FLIVE live 创建与 WAPC2 自动复跑 -> WCBK1 -> WACP3 -> WADM1 -> wecom_attendance_approval_mirror_v1`，并修正 WAPC2F 默认非自审链为 `SMOKE002 -> SMOKE101`。
+- WPROC1 是 WAPC2 后的企微路线与开发流程工程化修正合同：只更新合同和事实源，不写业务代码、不部署、不写 OA/企微数据；修正 WAPC2F 默认非自审链为 `SMOKE002 -> SMOKE101`，后续当前顺序以 WEGOV1 为准。
 - WPROC2 是 WPROC1 后的开发流程自动化门禁合同：新增 `scripts/qa/check-process-contract.mjs` process gate，并接入 `scripts/check-minimal.sh`；WAPC2F 实施前必须先通过 baseline gate 和 `wecom-approval-fixture` profile。本轮不部署、不写 OA/企微数据、不实现 WAPC2F 业务 runner。
 - WAPC2F 是 WPROC2 后的企微审批 POC 样件自动生成 dry-run 合同：新增 `server/src/scripts/check-wecom-approval-fixtures.js` 和 `npm run check:wecom-approval-fixtures`，公网报告 `/app/artifacts/qa-flow/wecom-approval-fixtures-20260519T045001Z/summary.json` 为 `PASS_FIXTURE_DRY_RUN_READY`。
 - WAPC2FLIVE 是 WAPC2F 后的企微审批 OA-POC 样件 live 创建合同：用户批准后执行 live 窗口，修正 `create_template` payload 为官方 `template_name` + `property` controls 结构；远端报告 `/app/artifacts/qa-flow/wecom-approval-fixtures-20260519T053400Z/summary.json` 为 `PASS_FIXTURE_CREATED`，请假/补卡测试模板和低风险测试审批单已创建并保留审计，自动复跑 WAPC2 为 `PASS_APPROVAL_POC`；不代表真实回调、补偿拉取、镜像模型或深度镜像已完成。
 - WCBK1 是 WAPC2FLIVE 后的企微审批回调只读 POC 合同：已新增只读回调端点、验签/解密/归一化服务、QA runner 和 `wecom-callback` process gate；远端配置真实回调后报告 `/app/artifacts/qa-flow/wecom-approval-callback-poc-20260519T083422Z/summary.json` 为 `PASS_CALLBACK_URL_VERIFIED`，`SMOKE101` 同意现有 OA-POC 补卡测试单后报告 `/app/artifacts/qa-flow/wecom-approval-callback-poc-20260519T092648Z/summary.json` 为 `PASS_CALLBACK_EVENT_CONFIRMED`。本证据不代表补偿拉取、镜像模型或深度镜像已完成。
+- WEGOV1 是 WCBK1 后的企微主办治理与 OA 自建留存路线修正合同：只更新合同和事实源，不改业务代码、不部署、不写 OA/企微数据；固定混合主办边界、OA 自建历史留存、企业微信无完整 sandbox 假设、受控测试域、自动化与人工边界，并把后续顺序调整为 `WACP3 -> WREAD1 -> WADM1 -> WARCH1 -> wecom_attendance_approval_mirror_v1`。

 ## 当前活跃治理流

@@ -134,11 +135,12 @@ R6 -> PC6 -> PA6 -> FL6 -> AP6 -> RI6 -> LP6 -> ME6/QG6 -> DG7/MRF7 -> MIA7 -> M
 | `WMSG1` | `issues/2026-05-19_07-41-37-wecom-message-live-verify-v1.csv` | 已完成：企微应用消息实发与 Deeplink 真机验证 | 远端单次设置 `WECOM_RUNTIME_TEST_SEND=1`，向管理员本人对应 OA 员工号 `HYD000006` 发送脱敏消息；报告 `/app/artifacts/qa-flow/wecom-runtime-ready-20260518T234431Z/summary.json` 为 `PASS_WITH_CONFIG_GAPS`，消息 `errcode=0`、`recipientCount=1`；用户确认收到并可点击进入 OA 通知页面 | 不改代码/schema/UI/远端持久 env；不补企微资料；不配置审批模板/`sp_no`/真实回调；不进入深度镜像 |
 | `WAPC1` | `issues/2026-05-19_08-44-58-wecom-approval-config-prep-v1.csv` | 已完成：企微审批配置准备清单 | 固化 WMSG1 后下一步为审批配置准备，不直接进入深度镜像；首批模板为请假、补卡、外出、加班；准备模板 ID、低风险 `sp_no`、真实回调配置项和后续 POC 准入 | 不改业务代码/API/schema/UI；不部署；不接真实回调；不调用企微写接口；不配置模板或 `sp_no` |
 | `WAPC2` | `issues/2026-05-19_09-34-16-wecom-approval-template-spno-poc-v1.csv` | 已部署并公网只读复跑：企微审批模板与低风险 `sp_no` 只读 POC | 新增 QA-only runner、只读集成服务和 focused 单测；范围请假+补卡；固定 `WECOM_AGENT_SECRET` 调用 `gettemplatedetail` / `getapprovaldetail`；远端报告 `/app/artifacts/qa-flow/wecom-approval-poc-20260519T020429Z/summary.json` 为 `PARTIAL_APPROVAL_POC_NEEDS_CONFIG` | 不新增公开 API/schema/UI；不接真实回调；不调用企微写接口；不写 OA/企微数据；不进入深度镜像 |
-| `WPROC1` | `issues/2026-05-19_10-43-50-wecom-process-route-engineering-v1.csv` | 当前路线与流程治理：企微工程化门禁修正 | 固化三层门禁、Definition of Ready、Definition of Done、自动化优先、非自审和高风险能力先 POC；修正 WAPC2F 默认链为 `SMOKE002 -> SMOKE101` | docs-only/contract-only；不改业务代码、不部署、不写 OA/企微数据；WAPC2 后仍需 WAPC2F、WCBK1、WACP3、WADM1 后才能进入深度镜像 |
+| `WPROC1` | `issues/2026-05-19_10-43-50-wecom-process-route-engineering-v1.csv` | 当前路线与流程治理：企微工程化门禁修正 | 固化三层门禁、Definition of Ready、Definition of Done、自动化优先、非自审和高风险能力先 POC；修正 WAPC2F 默认链为 `SMOKE002 -> SMOKE101` | docs-only/contract-only；不改业务代码、不部署、不写 OA/企微数据；当前深度镜像前置顺序由 WEGOV1 进一步收紧 |
 | `WPROC2` | `issues/2026-05-19_11-15-10-process-gate-automation-v1.csv` | 当前流程自动化门禁：process gate 框架 | 新增 `check-process-contract` QA-only CLI、WAPC2F profile、最小门禁接入和事实源回写；WAPC2F 实施前先跑 baseline gate | 不部署、不改业务 API/schema/UI、不写 OA/企微数据、不实现 WAPC2F runner |
 | `WAPC2F` | `issues/2026-05-19_10-24-43-wecom-approval-fixture-auto-generate-v1.csv` | 已完成：企微审批 POC 样件自动生成 runner 已部署并公网 dry-run 通过 | 新增 `check:wecom-approval-fixtures`，固定 `WECOM_AGENT_SECRET`，默认 dry-run 构建 OA-POC 请假/补卡模板和审批申请 payload；`SMOKE002 -> SMOKE101` 非自审预检通过；远端报告 `PASS_FIXTURE_DRY_RUN_READY` | 不新增公开 API/schema/UI；dry-run 不真实创建模板或审批单；不接回调；不进入深度镜像 |
 | `WAPC2FLIVE` | `issues/2026-05-19_13-24-12-wecom-approval-fixture-live-create-v1.csv` | 当前审批样件 live：OA-POC 请假/补卡测试模板和测试审批单已创建 | 修正 `create_template` payload 后，远端报告 `PASS_FIXTURE_CREATED`，自动复跑 WAPC2 为 `PASS_APPROVAL_POC`；测试模板和审批记录保留审计，只记录脱敏 template_id / `sp_no` 前缀 | 不改公开 API/schema/UI；不接真实回调；不做补偿拉取；不建镜像表；不进入深度镜像 |
-| `WCBK1` | `issues/2026-05-19_14-11-20-wecom-approval-callback-readonly-poc-v1.csv` | 当前回调只读 POC：真实 URL 和事件已确认 | 新增只读 `GET/POST /api/wecom/approval/callback`、`check:wecom-approval-callback-poc` 和 `wecom-callback` process gate；远端报告 `PASS_CALLBACK_URL_VERIFIED` 后，`SMOKE101` 处理现有 OA-POC 测试单并复跑达到 `PASS_CALLBACK_EVENT_CONFIRMED` | 不改 schema/UI；不建镜像表；不写 OA/企微业务数据；不创建新模板或审批单；后续仍需 WACP3 和 WADM1 |
+| `WCBK1` | `issues/2026-05-19_14-11-20-wecom-approval-callback-readonly-poc-v1.csv` | 当前回调只读 POC：真实 URL 和事件已确认 | 新增只读 `GET/POST /api/wecom/approval/callback`、`check:wecom-approval-callback-poc` 和 `wecom-callback` process gate；远端报告 `PASS_CALLBACK_URL_VERIFIED` 后，`SMOKE101` 处理现有 OA-POC 测试单并复跑达到 `PASS_CALLBACK_EVENT_CONFIRMED` | 不改 schema/UI；不建镜像表；不写 OA/企微业务数据；不创建新模板或审批单；后续仍需 WEGOV1/WACP3/WREAD1/WADM1/WARCH1 |
+| `WEGOV1` | `issues/2026-05-19_18-17-44-wecom-governance-owned-oa-archive-route-v1.csv` | 当前路线治理：企微主办 + OA 自建留存 | 固定 HR/考勤企微主办、财务经营和高敏业务 OA 主办、OA 留存关键企微历史、企业微信受控测试域、自动化与人工边界；后续新增 WREAD1 和 WARCH1 门禁 | docs-only；不改业务代码/API/schema/UI；不部署；不写 OA/企微数据；不进入深度镜像 |

 旧 Issue CSV 不删除、不批量回写、不移动到归档目录。若新治理流替代旧合同，只在新 CSV 的 `Notes` 或本索引说明 supersedes，旧文件保留历史审计语义。

@@ -161,9 +163,9 @@ R6 -> PC6 -> PA6 -> FL6 -> AP6 -> RI6 -> LP6 -> ME6/QG6 -> DG7/MRF7 -> MIA7 -> M
 | [海音达OA-MVP需求规格说明书](./海音达OA-MVP需求规格说明书.md) | PRD 主事实源；WAPC2FLIVE 后包含企微审批配置、只读 POC、工程化前置、process gate、请假/补卡样例和深度镜像前置口径 |
 | [文档事实源状态矩阵](./文档事实源状态矩阵.md) | 文档分类、删除恢复和冲突规则 |
 | [产品设计规则](./产品设计规则.md) | PC、移动、企业微信 WebView 设计事实源；DG8 后飞书工作台/飞书审批为唯一主 UI/布局参考；DG9 后按页面分层和样板选型 |
-| [企微优先开发路线图](./企微优先开发路线图.md) | WDRG/WCP1/WCPC/WHMS/WHMSLIVE/WOUA/WAPI/WRRA/WOUA-FIX/WRV1/WRA1/WMSG1/WAPC1/WAPC2/WPROC1/WPROC2/WAPC2F/WAPC2FLIVE/WCBK1 后企微优先 HR/考勤改造的阶段顺序、准入/退出门禁、并行规则、禁止跳阶段、API/Secret 口径、运行优先、消息实发、审批配置、只读 POC、process gate、自动样件 live 证据、真实回调事件证据、补偿拉取和模型设计事实源 |
-| [企微 API 能力目录](./企微API能力目录.md) | WAPI/WAPC1/WAPC2/WPROC1/WPROC2/WAPC2F/WAPC2FLIVE/WCBK1 后企微官方 API、Secret 矩阵、权限/可信 IP/回调模板、读写边界、运行优先、审批配置、只读 POC、WAPC2F dry-run、WAPC2FLIVE live 创建、WCBK1 回调真实事件 POC 和 WACP3/WADM1 决策事实源 |
-| [产品口径](./产品口径.md) | 已拍板产品边界和业务规则；WAPC2FLIVE 后包含审批配置、只读 POC、工程化前置阶段顺序、process gate 和请假/补卡样例口径 |
+| [企微优先开发路线图](./企微优先开发路线图.md) | WDRG/WCP1/WCPC/WHMS/WHMSLIVE/WOUA/WAPI/WRRA/WOUA-FIX/WRV1/WRA1/WMSG1/WAPC1/WAPC2/WPROC1/WPROC2/WAPC2F/WAPC2FLIVE/WCBK1/WEGOV1 后企微优先 HR/考勤改造的阶段顺序、准入/退出门禁、并行规则、禁止跳阶段、API/Secret 口径、运行优先、消息实发、审批配置、只读 POC、process gate、自动样件 live 证据、真实回调事件证据、自建留存、补偿拉取、可读性和模型设计事实源 |
+| [企微 API 能力目录](./企微API能力目录.md) | WAPI/WAPC1/WAPC2/WPROC1/WPROC2/WAPC2F/WAPC2FLIVE/WCBK1/WEGOV1 后企微官方 API、Secret 矩阵、权限/可信 IP/回调模板、读写边界、运行优先、审批配置、只读 POC、WAPC2F dry-run、WAPC2FLIVE live 创建、WCBK1 回调真实事件 POC、无完整 sandbox 假设和 WACP3/WREAD1/WADM1/WARCH1 决策事实源 |
+| [产品口径](./产品口径.md) | 已拍板产品边界和业务规则；WEGOV1 后包含混合主办、自建留存、受控测试域、后续阶段顺序和深度镜像前置口径 |
 | [需求 - 统一审批中心规约](./需求-统一审批中心规约.md) | OA 主办审批、企微主办 HR/考勤员工日常审批镜像、催办、超时提醒、审批效率 |
 | [报销发票附件规则](./报销发票附件规则.md) | 报销、发票、OCR、附件细则 |
 | [需求 - 报销发票 OCR 规约](./需求-报销发票OCR规约.md) | 报销发票 OCR 模块规约 |
@@ -2,7 +2,7 @@

 **文档状态**：当前测试事实源。
 **适用范围**：hyb-oa MVP 首轮开发 A3-A8，以及后续所有非微小改动。
-**路线口径**：WFOC/DBWFOC/WFDG/WDRG 后，HR/考勤员工日常审批优先复用企业微信成熟能力，OA 做按域镜像、人工接管、恢复回写、财务闭环和审计中台；报销、采购、合同、项目、PDF OCR、付款批次、AP 台账、代账交接和高敏附件继续由 OA 主办；企业微信只做脱敏消息和 OA deeplink；飞书不进入当前路线。后续企微/OA 运行时迁移前必须先读 [企微优先开发路线图](./企微优先开发路线图.md)，再做对应 POC。WPROC1 后，WAPC2 不能直接进入 `wecom_attendance_approval_mirror_v1`，必须先完成 WAPC2F、WCBK1、WACP3 和 WADM1；WCBK1 当前代码和 synthetic runner 已部署，但真实 URL/事件确认仍待配置；WPROC2 后先跑 `check-process-contract` process gate；缺配置或权限时记录 `NEEDS_CONFIG` 或 `SKIP/BLOCKED_BY_EXTERNAL_CONFIG`，不得伪造成通过。
+**路线口径**：WFOC/DBWFOC/WFDG/WDRG/WEGOV1 后，HR/考勤员工日常审批优先复用企业微信成熟能力，OA 做自建留存、按域镜像、人工接管、恢复回写、财务闭环和审计中台；报销、采购、合同、项目、PDF OCR、付款批次、AP 台账、代账交接和高敏附件继续由 OA 主办；企业微信只做脱敏消息和 OA deeplink；飞书不进入当前路线。后续企微/OA 运行时迁移前必须先读 [企微优先开发路线图](./企微优先开发路线图.md)，再做对应 POC。WEGOV1 后，WAPC2/WCBK1 不能直接进入 `wecom_attendance_approval_mirror_v1`，必须先完成 WACP3、WREAD1、WADM1 和 WARCH1；WCBK1 已完成真实 URL 验证和事件确认；WPROC2 后先跑 `check-process-contract` process gate；缺配置或权限时记录 `NEEDS_CONFIG` 或 `SKIP/BLOCKED_BY_EXTERNAL_CONFIG`，不得伪造成通过。

 本文回答“什么时候测试、测什么、怎么判定通过、怎么记录跳过”。具体业务验收仍以主 PRD、模块规约和最新 Issue CSV 为准。

@@ -47,7 +47,7 @@ WPROC1 后，企微 HR/考勤相关 Issue 在测试层面同步执行三层门

 | 门禁 | 测试要求 |
 | --- | --- |
-| 路线门禁 | 测试前核对路线图，确认没有跳过 WAPC2F、WCBK1、WACP3、WADM1 等前置阶段。 |
+| 路线门禁 | 测试前核对路线图，确认没有跳过 WAPC2F、WCBK1、WEGOV1、WACP3、WREAD1、WADM1、WARCH1 等前置阶段。 |
 | 能力门禁 | runner 必须输出真实 `PASS`、`NEEDS_CONFIG` 或 `SKIP/BLOCKED_BY_EXTERNAL_CONFIG`，不能把缺 Secret、权限、可信 IP、模板、回调或可见范围写成通过。 |
 | 实现门禁 | Issue CSV、静态检查、单测、回归、公网验证、状态回填和中文提交必须按 `Test_Method` 闭环。 |

@@ -70,7 +70,9 @@ Definition of Done：
 - 人工只保留批准、密钥/回调配置、企微后台不可 API 化配置、真机确认和风险拍板。
 - 若面向公网或企微可测，必须有 `/ready`、runtime smoke、public bundle scan 或对应 live runner 证据。

-高风险企微能力的 POC 顺序固定为：WAPC2F 自动样件 -> WAPC2FLIVE live 创建与 WAPC2 自动复跑 -> WCBK1 回调只读 POC -> WACP3 补偿拉取 POC -> WADM1 镜像数据模型设计 -> `wecom_attendance_approval_mirror_v1`。当前 WAPC2FLIVE 已完成，WCBK1 已完成代码部署和公网 synthetic dry-run，但真实回调 URL 验证和事件确认仍待管理员配置后复跑；后续不得跳过真实回调确认、补偿和模型门禁。真实回调必须先证明验签、解密、幂等和重复投递；补偿拉取必须先证明按时间窗口拿到审批单号并可拉详情；镜像实现前必须先有字段、状态机、幂等键、索引和隐私保留边界设计。
+高风险企微能力的 POC 顺序固定为：WAPC2F 自动样件 -> WAPC2FLIVE live 创建与 WAPC2 自动复跑 -> WCBK1 回调只读 POC -> WEGOV1 企微主办治理与自建留存路线修正 -> WACP3 补偿拉取 POC -> WREAD1 审批可读性与误审批防护门禁 -> WADM1 自建留存/镜像数据模型设计 -> WARCH1 最小自建历史留存实现 -> `wecom_attendance_approval_mirror_v1`。当前 WAPC2FLIVE 和 WCBK1 均已完成，后续不得跳过补偿、真机可读性、自建留存模型和最小历史留存门禁。真实回调必须先证明验签、解密、幂等和重复投递；补偿拉取必须先证明按时间窗口拿到审批单号并可拉详情；可读性门禁必须确认审批消息、列表、详情页和快捷同意/驳回误操作风险；镜像实现前必须先有字段、状态机、幂等键、索引和隐私保留边界设计。
+
+WEGOV1 后的企业微信测试环境口径：不假设自建应用有完整隔离 sandbox。自动化优先覆盖 API、回调、补偿拉取、脱敏报告和 OA 留存校验；人工只确认后台不可 API 化配置、真机收到/点击、审批详情是否看得清、正式写入和应急风险拍板。

 ## 4. MVP 首轮测试矩阵

@@ -56,7 +56,7 @@
 | 恢复回写层 | OA + 企业微信 API | 企微恢复后由 `wecom_recovery_writeback_v1` 对应急数据执行 dry-run、自动回写、失败重试和冲突清单。 |
 | 财务主办层 | OA | 报销、PDF 发票 OCR、发票查重、付款批次、银行回单、AP 台账、代账交接继续 OA 主办，不迁移到企微。 |

-无痛切换是长期目标，不代表本轮已实现完整替代。完整镜像按域定义：企微主办域镜像到 OA；OA 主办域不反向全量镜像到企微，只发送脱敏标题、业务类型、业务编号、状态和 OA 链接。后续必须按 `wecom_hr_master_sync_v1`、`runtime_first_wecom_enablement`、`WOUA-FIX / WECOM-RUNTIME-READY-V1`、`WAPC1 审批配置准备`、`WAPC2 请假/补卡只读 POC`、`WAPC2F 自动生成 POC 样件`、`WAPC2 自动复跑`、`WCBK1 回调只读 POC（真实事件已确认）`、`WACP3 补偿拉取 POC`、`WADM1 镜像数据模型设计`、`wecom_attendance_approval_mirror_v1`（承接旧口径 `wecom_native_approval_mirror_v1`）、`oa_hr_emergency_mode_v1`、`wecom_recovery_writeback_v1` 和 `wecom_ruleops_v1` 分阶段拆 Issue CSV。
+无痛切换是长期目标，不代表本轮已实现完整替代。完整镜像按域定义：企微主办域镜像到 OA；OA 主办域不反向全量镜像到企微，只发送脱敏标题、业务类型、业务编号、状态和 OA 链接。WEGOV1 后，OA 不重造企业微信完整打卡/考勤/HR 产品，但必须保存企微关键历史、完整外部关联键和必要快照，保证企微不可用时可查看既有数据。后续必须按 `wecom_hr_master_sync_v1`、`runtime_first_wecom_enablement`、`WOUA-FIX / WECOM-RUNTIME-READY-V1`、`WAPC1 审批配置准备`、`WAPC2 请假/补卡只读 POC`、`WAPC2F 自动生成 POC 样件`、`WAPC2FLIVE live 创建与 WAPC2 自动复跑`、`WCBK1 回调只读 POC（真实事件已确认）`、`WEGOV1 企微主办治理与自建留存路线修正`、`WACP3 补偿拉取 POC`、`WREAD1 审批可读性与误审批防护门禁`、`WADM1 自建留存/镜像数据模型设计`、`WARCH1 最小自建历史留存实现`、`wecom_attendance_approval_mirror_v1`（承接旧口径 `wecom_native_approval_mirror_v1`）、`oa_hr_emergency_mode_v1`、`wecom_recovery_writeback_v1` 和 `wecom_ruleops_v1` 分阶段拆 Issue CSV。

 ### 1.5 DBWFOC 数据边界修正

@@ -77,7 +77,7 @@ WFDG 将 DBWFOC 后的产品方向固化为开发前设计门禁。本节只代
 | 报销、采购、合同、项目、付款、AP、代账 | OA | 主办提交、审批、附件、导出、付款批次、审计和代账资料 | 只发送脱敏消息和 OA deeplink | 采购单附件、合同正文、报价、供应商资料、发票、银行回单和代账资料不进入企微原生审批或企微附件 |
 | RuleOps | OA + 企业微信 API | AI 草拟、差异报告、dry-run、人工确认、审计和回滚建议 | 接收经确认的审批模板、打卡规则、排班、假期余额或人事字段配置写入 | AI 不得直接改正式规则；每次写入保存前后快照、确认人、API `errcode` 和失败原因 |

-`WECOM-CAPABILITY-POC-V1` / WCPC 已按 `CAN_REUSE_NOW`、`NEEDS_CONFIG`、`NEEDS_API_POC`、`KEEP_OA_PRIMARY`、`NOT_SUPPORTED_BY_API` 输出人事助手、通讯录、打卡、审批、假期余额、回调和权限配置能力矩阵，并达到 HR 主数据镜像准入。WHMS/WHMSLIVE 已完成 HR 主数据镜像实现和受控公网验证；WAPI 已固定 API/Secret 口径并复跑 WOUA；WRRA 后明确 `PASS_WITH_FINDINGS` 不能直接放行深度镜像；WOUA-FIX 已将 7 个缺企微测试账号软归档并复检 `oaActiveMissingInWecom=0`，企微缺字段先接受不补；WMSG1 已证明真实企微应用消息和 Deeplink 可用；WAPC1 已固化审批配置准备清单；WAPC2 已提供请假/补卡只读 POC runner；WAPC2FLIVE 已创建 OA-POC 样件并自动复跑通过；WCBK1 已完成真实回调 URL 验证和审批状态事件确认；WPROC1 已固定自动化优先、非自审和高风险 POC 前置。生产写接口必须单独批准。正式开发顺序为 `wecom_hr_master_sync_v1` -> `runtime_first_wecom_enablement` -> `WOUA-FIX / WECOM-RUNTIME-READY-V1` -> `WAPC1 审批配置准备` -> `WAPC2 请假/补卡只读 POC` -> `WAPC2F 自动生成 POC 样件` -> `WAPC2 自动复跑` -> `WCBK1 回调只读 POC（真实事件已确认）` -> `WACP3 补偿拉取 POC` -> `WADM1 镜像数据模型设计` -> `wecom_attendance_approval_mirror_v1`（承接旧口径 `wecom_native_approval_mirror_v1`）-> `oa_hr_emergency_mode_v1` -> `wecom_recovery_writeback_v1` -> `wecom_ruleops_v1`。
+`WECOM-CAPABILITY-POC-V1` / WCPC 已按 `CAN_REUSE_NOW`、`NEEDS_CONFIG`、`NEEDS_API_POC`、`KEEP_OA_PRIMARY`、`NOT_SUPPORTED_BY_API` 输出人事助手、通讯录、打卡、审批、假期余额、回调和权限配置能力矩阵，并达到 HR 主数据镜像准入。WHMS/WHMSLIVE 已完成 HR 主数据镜像实现和受控公网验证；WAPI 已固定 API/Secret 口径并复跑 WOUA；WRRA 后明确 `PASS_WITH_FINDINGS` 不能直接放行深度镜像；WOUA-FIX 已将 7 个缺企微测试账号软归档并复检 `oaActiveMissingInWecom=0`，企微缺字段先接受不补；WMSG1 已证明真实企微应用消息和 Deeplink 可用；WAPC1 已固化审批配置准备清单；WAPC2 已提供请假/补卡只读 POC runner；WAPC2FLIVE 已创建 OA-POC 样件并自动复跑通过；WCBK1 已完成真实回调 URL 验证和审批状态事件确认；WPROC1/WPROC2 已固定自动化优先、非自审、高风险 POC 前置和 process gate；WEGOV1 固定企微主办 + OA 自建留存路线。生产写接口必须单独批准。正式开发顺序为 `wecom_hr_master_sync_v1` -> `runtime_first_wecom_enablement` -> `WOUA-FIX / WECOM-RUNTIME-READY-V1` -> `WAPC1 审批配置准备` -> `WAPC2 请假/补卡只读 POC` -> `WAPC2F 自动生成 POC 样件` -> `WAPC2FLIVE live 创建与 WAPC2 自动复跑` -> `WCBK1 回调只读 POC（真实事件已确认）` -> `WEGOV1 企微主办治理与自建留存路线修正` -> `WACP3 补偿拉取 POC` -> `WREAD1 审批可读性与误审批防护门禁` -> `WADM1 自建留存/镜像数据模型设计` -> `WARCH1 最小自建历史留存实现` -> `wecom_attendance_approval_mirror_v1`（承接旧口径 `wecom_native_approval_mirror_v1`）-> `oa_hr_emergency_mode_v1` -> `wecom_recovery_writeback_v1` -> `wecom_ruleops_v1`。

 ### 1.7 WDRG 开发路线图门禁

@@ -1,6 +1,6 @@
 # hyb-oa 管理员手册（10 人以下团队版）

-**当前状态（2026-05-19 / WCBK1）**：R7E、PRELAUNCH、财务闭环、ATTV1、HR-WECOM-DIRECTORY-V1、WAPI、WOUA-FIX、WRV1/WRA1、WMSG1、WAPC1/WAPC2、WPROC1/WPROC2、WAPC2F dry-run、WAPC2FLIVE 和 WCBK1 均已收口；SYSTEM-COMPLETE-GATE 结论为 `GO_TO_USE`。WAPI 后固定企微 API 能力目录和 Secret 矩阵：通讯录使用 `WECOM_CONTACT_SECRET`，人事助手/打卡/消息/OAuth/审批读取使用 `WECOM_AGENT_SECRET`，运行时代码不得靠多个 Secret 试错。WAPC2FLIVE 已创建 OA-POC 请假/补卡测试模板和低风险测试审批单，报告 `/app/artifacts/qa-flow/wecom-approval-fixtures-20260519T053400Z/summary.json` 为 `PASS_FIXTURE_CREATED`，自动复跑 WAPC2 为 `PASS_APPROVAL_POC`；测试模板和审批记录保留审计，不自动删除。WCBK1 已部署只读回调端点和 runner，远端完成回调 URL 验证并收到一条由 `SMOKE101` 同意现有 OA-POC 补卡测试单触发的真实审批状态事件，报告 `/app/artifacts/qa-flow/wecom-approval-callback-poc-20260519T092648Z/summary.json` 为 `PASS_CALLBACK_EVENT_CONFIRMED`。WPROC1 明确后续仍需 WACP3 补偿拉取 POC 和 WADM1 镜像数据模型设计，不能直接进入 `wecom_attendance_approval_mirror_v1`。采购、费用、合同、项目、报销、付款、AP、代账交接和高敏附件继续 OA 主办，企业微信只做脱敏提醒和 OA deeplink。公网 `payment_batch_v1=force_on`，`erp_sync=force_off`。公司当前无 ERP/独立财务系统，且 ERP 未来不接入 OA；财务闭环以 OA 内审批、台账、付款批次、银行对公付款回单和月度代账交接为准。
+**当前状态（2026-05-19 / WEGOV1）**：R7E、PRELAUNCH、财务闭环、ATTV1、HR-WECOM-DIRECTORY-V1、WAPI、WOUA-FIX、WRV1/WRA1、WMSG1、WAPC1/WAPC2、WPROC1/WPROC2、WAPC2F dry-run、WAPC2FLIVE、WCBK1 和 WEGOV1 均已收口；SYSTEM-COMPLETE-GATE 结论为 `GO_TO_USE`。WAPI 后固定企微 API 能力目录和 Secret 矩阵：通讯录使用 `WECOM_CONTACT_SECRET`，人事助手/打卡/消息/OAuth/审批读取使用 `WECOM_AGENT_SECRET`，运行时代码不得靠多个 Secret 试错。WAPC2FLIVE 已创建 OA-POC 请假/补卡测试模板和低风险测试审批单，报告 `/app/artifacts/qa-flow/wecom-approval-fixtures-20260519T053400Z/summary.json` 为 `PASS_FIXTURE_CREATED`，自动复跑 WAPC2 为 `PASS_APPROVAL_POC`；测试模板和审批记录保留审计，不自动删除。WCBK1 已部署只读回调端点和 runner，远端完成回调 URL 验证并收到一条由 `SMOKE101` 同意现有 OA-POC 补卡测试单触发的真实审批状态事件，报告 `/app/artifacts/qa-flow/wecom-approval-callback-poc-20260519T092648Z/summary.json` 为 `PASS_CALLBACK_EVENT_CONFIRMED`。WEGOV1 明确后续仍需 WACP3 补偿拉取 POC、WREAD1 审批可读性门禁、WADM1 自建留存/镜像数据模型设计和 WARCH1 最小历史留存，不能直接进入 `wecom_attendance_approval_mirror_v1`。采购、费用、合同、项目、报销、付款、AP、代账交接和高敏附件继续 OA 主办，企业微信只做脱敏提醒和 OA deeplink。公网 `payment_batch_v1=force_on`，`erp_sync=force_off`。公司当前无 ERP/独立财务系统，且 ERP 未来不接入 OA；财务闭环以 OA 内审批、台账、付款批次、银行对公付款回单和月度代账交接为准。

 ## 1. 适用范围
 - 适用于 `small_team_internal` 工作区模式。
@@ -173,7 +173,7 @@ ORDER BY e.employee_no;
 1. HR 先在企业微信通讯录或人事助手维护员工、部门、主管、职位、手机号、邮箱和在职状态。
 2. OA 后续通过 `wecom_hr_master_sync_v1` 同步员工镜像，自动生成或更新 OA 员工档案、账号、角色、企业微信绑定和审计记录。
 3. 员工请假、补卡、外出、加班优先在企业微信原生审批中提交和处理。
-4. OA 后续通过 `wecom_attendance_approval_mirror_v1` 同步审批详情、审批历史、附件、状态回调、打卡规则、排班、记录、日报、月报和异常摘要；该命名承接旧口径 `wecom_native_approval_mirror_v1`。
+4. OA 后续先通过 WARCH1 保存企微审批、打卡和人事关键历史，再通过 `wecom_attendance_approval_mirror_v1` 增强审批详情、审批历史、附件、状态回调、打卡规则、排班、记录、日报、月报和异常摘要查询；该命名承接旧口径 `wecom_native_approval_mirror_v1`。
 5. 报销、PDF OCR、付款批次、银行回单、AP 台账和代账交接仍在 OA 内完成，不迁移到企业微信。
 6. 采购、费用、合同、项目、报销、付款、AP、代账交接和高敏附件继续 OA 主办；采购单附件、合同正文、报价、供应商资料、发票、银行回单和代账资料不进入企业微信原生审批或企业微信附件。
 7. OA 主办审批仍可向企业微信个人应用发送脱敏消息；消息点击后通过免登录或账号绑定回到 OA 目标审批页，审批动作仍在 OA 完成。
@@ -198,7 +198,7 @@ WCP1/WCPC/WHMS 后续推进：
 2. WCP1 历史结论为 `PAUSE_FOR_CONFIG`；WCPC 已用既有在职测试号完成远端只读复跑，报告 `/tmp/wecom-capability-poc-wcpc-smoke002/summary.json`，结论 `GO_TO_HR_MASTER_SYNC`。
 3. WCPC 已证明 HR 主数据镜像准入项可用：通讯录成员读取、人事助手花名册读取、打卡短窗口记录/规则读取和假期余额读取均达到可复用状态；审批模板、审批实例和回调配置仍是后续考勤/审批镜像前置项。
 4. WHMS 已实现并部署验证 `wecom_hr_master_sync_v1`，包括同步批次、逐员工结果、dry-run/apply、People 管理入口和 QA-only runner；公网验证后最终保持 `force_off`。
-5. 正式开发仍按 `wecom_hr_master_sync_v1` -> `runtime_first_wecom_enablement` -> `WOUA-FIX / WECOM-RUNTIME-READY-V1` -> `WAPC1 审批配置准备` -> `WAPC2 请假/补卡只读 POC` -> `WAPC2F 自动生成 POC 样件` -> `WAPC2FLIVE live 创建与 WAPC2 自动复跑` -> `WCBK1 回调只读 POC` -> `WACP3 补偿拉取 POC` -> `WADM1 镜像数据模型设计` -> `wecom_attendance_approval_mirror_v1` -> `oa_hr_emergency_mode_v1` -> `wecom_recovery_writeback_v1` -> `wecom_ruleops_v1` 分合同实施；WOUA-FIX 已收口测试账号差异和处理决策，WRV1/WRA1/WMSG1 已验证运行入口、OAuth/绑定、脱敏消息、Deeplink、通讯录、人事助手和打卡读取主链路。WAPC2FLIVE 已生成请假/补卡低风险样例，WCBK1 已证明真实审批回调 URL、验签/解密和事件脱敏留证；补偿拉取和镜像数据模型未明确前，不得进入深度考勤/审批镜像。
+5. 正式开发仍按 `wecom_hr_master_sync_v1` -> `runtime_first_wecom_enablement` -> `WOUA-FIX / WECOM-RUNTIME-READY-V1` -> `WAPC1 审批配置准备` -> `WAPC2 请假/补卡只读 POC` -> `WAPC2F 自动生成 POC 样件` -> `WAPC2FLIVE live 创建与 WAPC2 自动复跑` -> `WCBK1 回调只读 POC` -> `WEGOV1 企微主办治理与自建留存路线修正` -> `WACP3 补偿拉取 POC` -> `WREAD1 审批可读性与误审批防护门禁` -> `WADM1 自建留存/镜像数据模型设计` -> `WARCH1 最小自建历史留存实现` -> `wecom_attendance_approval_mirror_v1` -> `oa_hr_emergency_mode_v1` -> `wecom_recovery_writeback_v1` -> `wecom_ruleops_v1` 分合同实施；WOUA-FIX 已收口测试账号差异和处理决策，WRV1/WRA1/WMSG1 已验证运行入口、OAuth/绑定、脱敏消息、Deeplink、通讯录、人事助手和打卡读取主链路。WAPC2FLIVE 已生成请假/补卡低风险样例，WCBK1 已证明真实审批回调 URL、验签/解密和事件脱敏留证；补偿拉取、审批可读性、自建留存模型和最小历史留存未明确前，不得进入深度考勤/审批镜像。
 6. 任何生产写接口、企微规则写入、应急模式开启或恢复回写都必须有单独批准、dry-run 或可审计记录。

 WCPC 配置复跑清单：
@@ -245,6 +245,13 @@ WCBK1 回调只读 POC：
 4. 后续如更换回调 URL、Token 或 EncodingAESKey，必须先同步部署环境并重启 server，再在企微后台保存；不得把真实密钥写入仓库、文档或聊天。
 5. 报告只保存事件类型、审批类型、状态摘要、脱敏 `sp_no`/模板前缀和幂等键摘要；不得截图、转存或粘贴 Token、EncodingAESKey、原始 XML、密文、完整 `sp_no`、完整 userid、表单值、附件或评论。

+WEGOV1 自动化与人工边界：
+
+1. 我可以自动完成：Issue CSV、文档回写、runner、synthetic 测试、API 只读探测、回调验签/解密测试、补偿拉取测试、脱敏报告、受控部署、`/ready`、公网 runner 复跑、状态回填和中文提交。
+2. 管理员或用户必须人工处理：企微后台无法 API 化配置、Secret/Token/EncodingAESKey 填入部署环境、可信 IP/可见范围调整、正式写入批准、真机收到消息/点击/审批可读性确认、是否启用正式批量同步或应急模式的风险拍板。
+3. 企业微信自建应用没有完整隔离 sandbox 假设；后续测试默认使用真实企业内受控测试域：`SMOKE002 -> SMOKE101`、`OA-POC` 模板、低风险审批单和脱敏报告。
+4. OA 后续保存企微关键历史和完整外部关联键；V1 目标是企微不可用时能查看历史，不是完整替代企微继续办理。
+
 WAPC2 请假/补卡只读 POC 操作口径：

 1. 优先用 WAPC2F runner 自动生成 OA-POC 请假/补卡测试模板和低风险测试审批单；当前 dry-run 已通过，真实创建模板/审批单前仍需管理员批准单次 live 写入。
@@ -429,7 +436,7 @@ WAPC2 请假/补卡只读 POC 操作口径：
   - `WECOM_ALLOWED_RETURN_HOSTS=oa.hyinda.com`
 5. 先让管理员用账号密码登录，在 `个人设置` 完成一次绑定，再测试企业微信工作台直达；已绑定用户从手机企业微信进入时应直接看到移动工作台。
 6. 若启用 OA 同步企业微信打卡数据，在企业微信打卡 API「可调用接口的应用」中授权 `海音达工作台`。OA 默认可复用 `WECOM_AGENT_SECRET`；只有单独创建考勤同步应用时才额外配置 `WECOM_CHECKIN_SECRET`。
-7. HR/考勤员工日常审批后续配置企业微信原生审批模板作为主流程；WAPC2FLIVE 已自动生成请假/补卡 OA-POC 低风险样件并复跑只读 POC，通过后仍需按 WPROC1 顺序做 WCBK1 回调 POC、WACP3 补偿拉取 POC 和 WADM1 镜像数据模型。外出/加班模板仍需后续单独配置或 POC。报销、财务、采购、合同和项目类 OA 主办审批仍使用企业微信消息提醒并回到 OA 页面完成。
+7. HR/考勤员工日常审批后续配置企业微信原生审批模板作为主流程；WAPC2FLIVE 已自动生成请假/补卡 OA-POC 低风险样件并复跑只读 POC，WCBK1 已完成真实回调事件确认；后续仍需按 WEGOV1 顺序做 WACP3 补偿拉取、WREAD1 可读性门禁、WADM1 自建留存/镜像模型和 WARCH1 最小历史留存。外出/加班模板仍需后续单独配置或 POC。报销、财务、采购、合同和项目类 OA 主办审批仍使用企业微信消息提醒并回到 OA 页面完成。

 ### 员工会看到的典型状态
 - 未绑定：登录页会提示“当前企业微信账号尚未绑定”，回退到账号密码登录。
@@ -6,7 +6,7 @@
 **上级事实源**：[海音达OA-MVP需求规格说明书](./海音达OA-MVP需求规格说明书.md)
 **相关事实源**：[需求 - 统一审批中心规约](./需求-统一审批中心规约.md)、[企微 API 能力目录](./企微API能力目录.md)

-本规约细化企业微信在 `hyb-oa` 中的基础设施边界、入口、免登/绑定、通讯录身份、消息通知、deeplink、打卡、人事助手、原生审批、OA 镜像、人工接管和恢复回写要求。WFOC 起产品方向调整为“企微优先 + OA 无痛接管”；DBWFOC 后进一步固定为：HR/考勤员工日常审批优先使用企业微信，OA 做按域镜像、备份接管、财务闭环和审计中台；采购、合同、项目、财务和高敏附件继续由 OA 主办。WAPI 后，所有企微相关开发必须先读取本规约和 [企微 API 能力目录](./企微API能力目录.md)，确认官方 API、Secret、权限、可信 IP、回调/模板和读写边界，再拆 Issue CSV。WMSG1 已证明企业微信应用消息和 Deeplink 真机回流可用；WAPC1 后审批进入配置准备清单，WAPC2 后先做请假/补卡模板详情与低风险 `sp_no` 只读 POC；WAPC2F 已实现 OA-POC 样件 dry-run 并公网验证 `PASS_FIXTURE_DRY_RUN_READY`。WAPC2FLIVE 已在用户批准后创建 OA-POC 请假/补卡测试模板和低风险测试审批单，自动复跑 WAPC2 为 `PASS_APPROVAL_POC`。WCBK1 已完成真实回调 URL 验证和一条现有 OA-POC 测试审批单事件确认，公网结论 `PASS_CALLBACK_EVENT_CONFIRMED`。WPROC1 后仍必须先做补偿拉取和镜像数据模型门禁，不是直接进入审批镜像实现。
+本规约细化企业微信在 `hyb-oa` 中的基础设施边界、入口、免登/绑定、通讯录身份、消息通知、deeplink、打卡、人事助手、原生审批、OA 自建留存、OA 镜像、人工接管和恢复回写要求。WFOC 起产品方向调整为“企微优先 + OA 无痛接管”；DBWFOC 后进一步固定为：HR/考勤员工日常审批优先使用企业微信，OA 做按域镜像、备份接管、财务闭环和审计中台；采购、合同、项目、财务和高敏附件继续由 OA 主办。WAPI 后，所有企微相关开发必须先读取本规约和 [企微 API 能力目录](./企微API能力目录.md)，确认官方 API、Secret、权限、可信 IP、回调/模板和读写边界，再拆 Issue CSV。WMSG1 已证明企业微信应用消息和 Deeplink 真机回流可用；WAPC1 后审批进入配置准备清单，WAPC2 后先做请假/补卡模板详情与低风险 `sp_no` 只读 POC；WAPC2F 已实现 OA-POC 样件 dry-run 并公网验证 `PASS_FIXTURE_DRY_RUN_READY`。WAPC2FLIVE 已在用户批准后创建 OA-POC 请假/补卡测试模板和低风险测试审批单，自动复跑 WAPC2 为 `PASS_APPROVAL_POC`。WCBK1 已完成真实回调 URL 验证和一条现有 OA-POC 测试审批单事件确认，公网结论 `PASS_CALLBACK_EVENT_CONFIRMED`。WEGOV1 后固定“企微主办 HR/考勤成熟能力，OA 保存关键历史和外部关联键”的路线；后续仍必须先做补偿拉取、审批可读性门禁、自建留存/镜像数据模型和最小历史留存，不是直接进入审批镜像实现。

 ---

@@ -18,6 +18,7 @@
 - 员工在手机企业微信中进入唯一自建应用 `海音达工作台`，默认落到 OA 移动端。
 - OA 主办的报销、财务、采购、合同和项目类审批仍由企业微信消息提醒并 deeplink 回 OA 处理。
 - HR/考勤员工日常审批优先复用企业微信原生审批和打卡能力，OA 同步按域镜像、附件、审批历史、规则快照和审计记录。
+- OA 保存企微关键业务历史、完整外部关联键和必要快照，保证企微不可用时仍可查看已保存的历史审批、考勤和人事摘要。
 - 企业微信不可用时，由管理员人工开启 OA HR/考勤应急模式；企微恢复后，OA 对应急数据执行 dry-run、自动回写、失败重试和冲突清单。

 ### 1.2 不做范围
@@ -40,6 +41,17 @@
 | 财务/报销 | 企微不提供本项目需要的 PDF OCR、付款批次、银行回单和代账闭环 | OA 主办 | `KEEP_OA_PRIMARY` |
 | 真实支付、ERP、图片 OCR、银行流水导入 | 非本路线目标 | 不进入当前路线 | `NOT_IN_SCOPE` |

+WEGOV1 后四域边界：
+
+| 域 | 主办方 | 说明 |
+| --- | --- | --- |
+| 企微主办域 | 企业微信 | 打卡、请假、补卡、外出、加班、假期余额和人事助手等成熟 HR/考勤能力优先在企微完成。 |
+| OA 主办域 | OA | 报销、采购、合同、项目、付款、发票、银行回单、高敏附件和经营审计继续在 OA 内完成。 |
+| OA 留存域 | OA | 保存审批单号、模板、申请人、审批人、状态、时间、审批历史、字段摘要、打卡摘要、规则快照、假期余额摘要、人事花名册快照、回调事件和补偿拉取记录。 |
+| OA 应急域 | OA | 仅在企业微信不可用时由管理员人工开启；V1 目标是查看历史和有限接管，不复刻企微完整风控。 |
+
+企业微信自建应用不按完整隔离 sandbox 处理。后续测试默认使用真实企业内受控测试域：`SMOKE002 -> SMOKE101`、`OA-POC` 模板、低风险审批单、脱敏报告、本地 synthetic 和公网 live runner；需要管理员人工处理的仅限后台不可 API 化配置、Secret/Token/EncodingAESKey、可信 IP/可见范围、正式写入批准、真机确认和风险拍板。
+
 官方能力依据以 [企微 API 能力目录](./企微API能力目录.md) 登记的企业微信开发者中心链接为准。首轮已固定：通讯录全量候选使用 `POST /cgi-bin/user/list_id`，花名册读取使用 `POST /cgi-bin/hr/get_staff_info`，花名册更新 `POST /cgi-bin/hr/update_staff_info` 属写接口需单独 POC。真实接口权限、回调配置和可调用应用范围必须在后续 POC 合同中以 `NEEDS_CONFIG` 或 `SKIP/BLOCKED_BY_EXTERNAL_CONFIG` 记录。

 ---
@@ -223,9 +235,9 @@ REQAUD 复核后，ATTV1 已完成统一入口实现，企业微信打卡边界
 ## 7.8 WDRG 开发路线图门禁

 - WDRG 后，企业微信相关运行时迁移采用“路线图门禁 + 单功能 Issue CSV”，路线图事实源为 [企微优先开发路线图](./企微优先开发路线图.md)。
- WPROC1 后阶段顺序调整为 `WECOM-CAPABILITY-POC-V1` -> `wecom_hr_master_sync_v1` -> `runtime_first_wecom_enablement` -> `WOUA-FIX / WECOM-RUNTIME-READY-V1` -> `WAPC1 审批配置准备` -> `WAPC2 请假/补卡只读 POC` -> `WAPC2F 自动生成 POC 样件` -> `WAPC2 自动复跑` -> `WCBK1 回调只读 POC` -> `WACP3 补偿拉取 POC` -> `WADM1 镜像数据模型设计` -> `wecom_attendance_approval_mirror_v1` -> `oa_hr_emergency_mode_v1` -> `wecom_recovery_writeback_v1` -> `wecom_ruleops_v1`。
+- WEGOV1 后阶段顺序调整为 `WECOM-CAPABILITY-POC-V1` -> `wecom_hr_master_sync_v1` -> `runtime_first_wecom_enablement` -> `WOUA-FIX / WECOM-RUNTIME-READY-V1` -> `WAPC1 审批配置准备` -> `WAPC2 请假/补卡只读 POC` -> `WAPC2F 自动生成 POC 样件` -> `WAPC2FLIVE live 创建与 WAPC2 自动复跑` -> `WCBK1 回调只读 POC` -> `WEGOV1 企微主办治理与自建留存路线修正` -> `WACP3 补偿拉取 POC` -> `WREAD1 审批可读性与误审批防护门禁` -> `WADM1 自建留存/镜像数据模型设计` -> `WARCH1 最小自建历史留存实现` -> `wecom_attendance_approval_mirror_v1` -> `oa_hr_emergency_mode_v1` -> `wecom_recovery_writeback_v1` -> `wecom_ruleops_v1`。
 - `WECOM-CAPABILITY-POC-V1` 已由 WCPC 收口，WHMS/WHMSLIVE 已完成 HR 主数据镜像实现和受控公网验证；后续不得跳过运行优先门禁和 WOUA 差异处理决策直接开发企微 HR/考勤审批镜像、OA 应急接管、恢复回写或 RuleOps 正式写入。
- 运行优先阶段先利用入口、免登/绑定、脱敏消息、deeplink、通讯录 userid 清单、人事助手花名册读取和打卡读取；WOUA-FIX 已按用户确认软归档 7 个缺企微测试账号，复检 `oaActiveMissingInWecom=0`；剩余企微缺字段先接受不补，归档测试绑定保留审计。WRV1 用 `server/src/scripts/check-wecom-runtime-ready.js` 固化运行优先门禁，WRA1 修正 QA-only 打卡只读门禁，WMSG1 完成真实消息和 Deeplink 真机确认。报告结论只能是 `PASS_RUNTIME_READY`、`PASS_WITH_CONFIG_GAPS` 或 `SKIP/BLOCKED_BY_EXTERNAL_CONFIG`。该结论仍不能直接放行深度镜像，深度考勤/审批镜像需在 WAPC1、WAPC2、WAPC2F、WCBK1、WACP3 和 WADM1 完成后再拆。
+- 运行优先阶段先利用入口、免登/绑定、脱敏消息、deeplink、通讯录 userid 清单、人事助手花名册读取和打卡读取；WOUA-FIX 已按用户确认软归档 7 个缺企微测试账号，复检 `oaActiveMissingInWecom=0`；剩余企微缺字段先接受不补，归档测试绑定保留审计。WRV1 用 `server/src/scripts/check-wecom-runtime-ready.js` 固化运行优先门禁，WRA1 修正 QA-only 打卡只读门禁，WMSG1 完成真实消息和 Deeplink 真机确认。报告结论只能是 `PASS_RUNTIME_READY`、`PASS_WITH_CONFIG_GAPS` 或 `SKIP/BLOCKED_BY_EXTERNAL_CONFIG`。该结论仍不能直接放行深度镜像，深度考勤/审批镜像需在 WAPC1、WAPC2、WAPC2F/WAPC2FLIVE、WCBK1、WEGOV1、WACP3、WREAD1、WADM1 和 WARCH1 完成后再拆。
 - WAPC2F 自动样件默认申请人 `SMOKE002`、审批人 `SMOKE101`；两者必须 active、已绑定企微、可见、不是同一 OA 员工且不是同一企微 userid。`SMOKE101` 不可用时不自动换人，返回配置缺口并问答确认。
 - 线上缺陷、正式使用阻断、真实反馈扫尾和 QA-only 脚本维护可另开合同并行；采购、合同、报销、付款、AP、代账和高敏附件继续 OA 主办，不混入企微 HR/考勤路线。
 - 本路线图只代表开发节奏和门禁，不代表任何企微 HR/考勤镜像、OA 应急接管、恢复回写或 RuleOps 运行时能力已完成。
@@ -5,7 +5,7 @@
 **状态**：模块级开发规约
 **上级事实源**：[海音达OA-MVP需求规格说明书](./海音达OA-MVP需求规格说明书.md)

-本规约细化 `hyb-oa` 审批中心和企业微信原生审批镜像的产品边界、角色权限、状态模型、异常规则、留痕要求和验收场景。WFOC 起，审批按主办方分层；DBWFOC 后边界进一步收窄：报销、财务、采购、合同和项目类审批继续由 OA 主办；请假、补卡、外出、加班等 HR/考勤员工日常审批优先由企业微信主办，OA 同步按域镜像并保留人工接管和恢复回写能力。WMSG1 已验证企业微信应用消息和 Deeplink 回流，WAPC1 后审批镜像前置工作进入配置准备清单阶段，WAPC2 已提供请假/补卡只读 POC runner，WAPC2FLIVE 已自动生成请假/补卡 OA-POC 样件并复跑通过。WCBK1 已完成只读回调 URL 验证和真实审批事件确认，结论为 `PASS_CALLBACK_EVENT_CONFIRMED`。后续仍必须先完成 WACP3 补偿拉取 POC 和 WADM1 镜像数据模型设计，不能直接放行镜像实现。后续审批相关开发必须先从本规约拆分 Issue CSV，再进入技术方案和代码实现。
+本规约细化 `hyb-oa` 审批中心和企业微信原生审批镜像的产品边界、角色权限、状态模型、异常规则、留痕要求和验收场景。WFOC 起，审批按主办方分层；DBWFOC 后边界进一步收窄：报销、财务、采购、合同和项目类审批继续由 OA 主办；请假、补卡、外出、加班等 HR/考勤员工日常审批优先由企业微信主办，OA 同步按域镜像并保留自建历史留存、人工接管和恢复回写能力。WMSG1 已验证企业微信应用消息和 Deeplink 回流，WAPC1 后审批镜像前置工作进入配置准备清单阶段，WAPC2 已提供请假/补卡只读 POC runner，WAPC2FLIVE 已自动生成请假/补卡 OA-POC 样件并复跑通过。WCBK1 已完成只读回调 URL 验证和真实审批事件确认，结论为 `PASS_CALLBACK_EVENT_CONFIRMED`。WEGOV1 后明确先利用企微成熟审批和考勤能力，同时由 OA 保存关键历史和外部关联键。后续仍必须先完成 WACP3 补偿拉取 POC、WREAD1 审批可读性与误审批防护门禁、WADM1 自建留存/镜像数据模型设计和 WARCH1 最小历史留存，不能直接放行镜像实现。后续审批相关开发必须先从本规约拆分 Issue CSV，再进入技术方案和代码实现。

 ---

@@ -15,6 +15,7 @@

 - `hyb-oa` 是财务审批、报销、采购、合同、项目和审计镜像中心。
 - HR/考勤员工日常审批优先复用企业微信原生审批；OA 同步审批单、审批历史、附件、状态回调和审计镜像。
+- OA 保存企微主办审批的完整外部关联键和必要业务摘要，用于历史查看、补偿拉取、审计和后续恢复。
 - PC、移动端和企业微信入口应能区分 OA 主办审批、企微主办审批镜像和 OA 应急接管单据。
 - 企业微信消息继续作为 OA 主办审批的提醒和 deeplink；企微主办审批在企业微信内完成，OA 负责镜像和恢复对账。
 - 企微不可用时，管理员可人工开启 `oa_hr_emergency_mode_v1`，临时由 OA 接管 HR/考勤应急审批；企微恢复后通过 `wecom_recovery_writeback_v1` 回写和对账。
@@ -354,7 +355,7 @@ WF8-3、WF8-4、WF8-5 实现前必须基于本设计给技术方案；实现后
 - 采购单附件、合同正文、报价、供应商资料、发票、银行回单、代账资料和其他高敏附件不进入企业微信原生审批或企业微信附件；企业微信只做提醒、deeplink 和免登录回流。
 - 按域镜像是默认规则：企微主办 HR/考勤域镜像到 OA；OA 主办采购、合同、项目、财务和报销域不反向全量镜像到企微。
 - WFDG 后，审批相关页面和接口必须区分 `OA 主办`、`企微镜像` 和 `OA 应急接管`；企微镜像不得被误用为 OA 日常新建入口，OA 应急接管单据必须带 `EMERGENCY` 并进入恢复回写队列。
- WAPI/WRRA/WOUA-FIX/WAPC1/WAPC2/WPROC1 后，审批相关运行时迁移必须先读 [企微优先开发路线图](./企微优先开发路线图.md) 和 [企微 API 能力目录](./企微API能力目录.md)，按 `wecom_hr_master_sync_v1` -> `runtime_first_wecom_enablement` -> `WOUA-FIX / WECOM-RUNTIME-READY-V1` -> `WAPC1 审批配置准备` -> `WAPC2 请假/补卡只读 POC` -> `WAPC2F 自动生成 POC 样件` -> `WAPC2FLIVE live 创建与 WAPC2 自动复跑` -> `WCBK1 回调只读 POC` -> `WACP3 补偿拉取 POC` -> `WADM1 镜像数据模型设计` -> `wecom_attendance_approval_mirror_v1` -> `oa_hr_emergency_mode_v1` -> `wecom_recovery_writeback_v1` 的顺序拆单功能 Issue CSV；WOUA-FIX 只收口了用户一致性测试账号差异和处理决策，WRV1/WRA1/WMSG1 只验证入口、OAuth/绑定、脱敏消息、deeplink、通讯录、人事助手、打卡只读主链路和真实消息回流。WAPC1 只固化审批配置准备清单；WAPC2 只读模板详情和低风险 `sp_no` 审批详情；WAPC2FLIVE 只生成 OA-POC 低风险测试样件并自动复跑只读 POC；WCBK1 只证明真实审批状态回调可验签、可解密、可脱敏留证。补偿拉取和镜像数据模型未明确前，不得直接开发企微审批镜像或恢复回写。
+- WAPI/WRRA/WOUA-FIX/WAPC1/WAPC2/WPROC1/WEGOV1 后，审批相关运行时迁移必须先读 [企微优先开发路线图](./企微优先开发路线图.md) 和 [企微 API 能力目录](./企微API能力目录.md)，按 `wecom_hr_master_sync_v1` -> `runtime_first_wecom_enablement` -> `WOUA-FIX / WECOM-RUNTIME-READY-V1` -> `WAPC1 审批配置准备` -> `WAPC2 请假/补卡只读 POC` -> `WAPC2F 自动生成 POC 样件` -> `WAPC2FLIVE live 创建与 WAPC2 自动复跑` -> `WCBK1 回调只读 POC` -> `WEGOV1 企微主办治理与自建留存路线修正` -> `WACP3 补偿拉取 POC` -> `WREAD1 审批可读性与误审批防护门禁` -> `WADM1 自建留存/镜像数据模型设计` -> `WARCH1 最小自建历史留存实现` -> `wecom_attendance_approval_mirror_v1` -> `oa_hr_emergency_mode_v1` -> `wecom_recovery_writeback_v1` 的顺序拆单功能 Issue CSV；WOUA-FIX 只收口了用户一致性测试账号差异和处理决策，WRV1/WRA1/WMSG1 只验证入口、OAuth/绑定、脱敏消息、deeplink、通讯录、人事助手、打卡只读主链路和真实消息回流。WAPC1 只固化审批配置准备清单；WAPC2 只读模板详情和低风险 `sp_no` 审批详情；WAPC2FLIVE 只生成 OA-POC 低风险测试样件并自动复跑只读 POC；WCBK1 只证明真实审批状态回调可验签、可解密、可脱敏留证；WEGOV1 只修正混合主办、自建留存和测试治理口径。补偿拉取、可读性门禁、自建留存模型和最小历史留存未明确前，不得直接开发企微审批镜像或恢复回写。
 - WRV1/WRA1 runner `npm run check:wecom-runtime-ready` 中的审批模板、测试 `sp_no` 和真实回调检查只允许输出 `NEEDS_CONFIG`；这类缺口不阻断运行优先主链路的 `PASS_WITH_CONFIG_GAPS`，但必须阻断 `wecom_attendance_approval_mirror_v1`、应急恢复回写和 RuleOps。`WECOM_CHECKIN_SYNC_ENABLED` 只控制正式考勤同步批次，不阻断 QA-only 打卡只读能力探测。
 - WMSG1 已证明企业微信应用消息可达和 Deeplink 可进入 OA 通知页；该证据只清除通知链路，不清除审批模板、测试 `sp_no` 或真实回调前置。WAPC1 固化配置准备清单后，WAPC2 先提供请假/补卡模板详情和低风险审批详情只读 POC；WPROC1 后优先用 WAPC2F 自动生成 POC 样件，不默认要求人工手动创建模板或测试单。人工介入限于写入批准、密钥/回调配置、企微后台无法 API 化配置、真机确认和风险拍板。
 - 后续企微审批同步的 POC 必须输出 `CAN_REUSE_NOW`、`NEEDS_CONFIG`、`NEEDS_API_POC`、`KEEP_OA_PRIMARY`、`NOT_SUPPORTED_BY_API`，缺模板、回调、Secret 或权限时记录 `SKIP/BLOCKED_BY_EXTERNAL_CONFIG`。
@@ -409,13 +410,16 @@ WAPC2F 是 WAPC2 后的自动化优先补缺阶段，目标是尽量用 QA-only
 - live 写入必须有显式 CLI 参数 `--live --create-templates --submit-test-approvals` 和单次进程环境变量 `WECOM_APPROVAL_FIXTURE_WRITE=1`，默认 dry-run 不获取写入 token、不调用企微写接口。
 - 报告只保存脱敏模板 ID/`sp_no` 前缀、计数、状态和错误分类，不保存完整 `sp_no`、表单值、附件、评论、完整 userid、Secret、token 或原始 payload。

-### 9.4 WCBK1 / WACP3 / WADM1 前置门禁
+### 9.4 WEGOV1 / WACP3 / WREAD1 / WADM1 / WARCH1 前置门禁

-在 `wecom_attendance_approval_mirror_v1` 前必须补齐三个 POC/设计门禁：
+在 `wecom_attendance_approval_mirror_v1` 前必须补齐治理、POC、真机和数据模型门禁：

 - `WCBK1 回调只读 POC`：已新增只读 `GET/POST /api/wecom/approval/callback` 和 `npm run check:wecom-approval-callback-poc`。公网 synthetic 验签、解密和解析通过后，部署环境完成回调配置并达到 `PASS_CALLBACK_URL_VERIFIED`；`SMOKE101` 随后处理现有 OA-POC 补卡测试单触发真实事件，复跑结论 `PASS_CALLBACK_EVENT_CONFIRMED`，报告只保存脱敏事件证据。
+- `WEGOV1 企微主办治理与自建留存路线修正`：固定企微主办域、OA 主办域、OA 留存域和 OA 应急域；明确企业微信没有完整 sandbox 假设，默认使用受控测试域和自动化 runner。
 - `WACP3 补偿拉取 POC`：证明可按时间窗口获取审批单号，并调用 `getapprovaldetail` 拉取详情。
- `WADM1 镜像数据模型设计`：先设计字段、状态机、幂等键、索引、隐私保留、审计和迁移回滚方案。
+- `WREAD1 审批可读性与误审批防护门禁`：真机确认审批消息卡片、审批列表和详情页是否足够清楚；若快捷同意/驳回存在高误操作风险，则要求模板调整或该模板回退 OA 主办。
+- `WADM1 自建留存/镜像数据模型设计`：先设计字段、状态机、幂等键、索引、隐私保留、审计和迁移回滚方案。
+- `WARCH1 最小自建历史留存实现`：先只读保存企微审批、打卡和人事关键快照，保证企微不可用时可查看历史，再进入完整镜像增强。

 ### 9.5 WF8 邮件通道决策

@@ -7,7 +7,7 @@
 **相关事实源**：[需求 - 统一审批中心规约](./需求-统一审批中心规约.md)、[需求 - 企业微信基础设施规约](./需求-企业微信基础设施规约.md)
 **体验总依据**：[产品设计规则基线](./产品设计规则.md)

-本规约细化请假、补卡、外出、加班与考勤修正的产品要求。WFOC 起，企业微信作为 HR/考勤员工日常审批和打卡规则主操作端；OA 负责按域镜像、应急接管、恢复回写、查询导出和审计。WAPC2 后，请假和补卡先通过 QA-only runner 只读验证模板详情与低风险 `sp_no` 审批详情；WAPC2FLIVE 已生成 OA-POC 样件并复跑通过；WCBK1 已部署回调只读端点和 synthetic runner，但真实 URL 验证和事件确认仍待配置。后续还必须先完成 WCBK1 真实确认、WACP3 补偿拉取 POC 和 WADM1 镜像数据模型设计，这不代表真实回调或审批镜像已实现。PC 和移动页面体验以产品设计规则基线为依据，不重复定义通用审批链和移动导航规则。
+本规约细化请假、补卡、外出、加班与考勤修正的产品要求。WFOC 起，企业微信作为 HR/考勤员工日常审批和打卡规则主操作端；OA 负责按域镜像、应急接管、恢复回写、查询导出和审计。WEGOV1 后进一步明确：企微成熟 HR/考勤功能优先上线，OA 不重造企业微信完整打卡/考勤/HR 产品，但必须做自建历史留存、审计、入口、消息和应急兜底。WAPC2 后，请假和补卡先通过 QA-only runner 只读验证模板详情与低风险 `sp_no` 审批详情；WAPC2FLIVE 已生成 OA-POC 样件并复跑通过；WCBK1 已完成真实回调 URL 验证和一条测试审批事件确认。后续还必须先完成 WACP3 补偿拉取 POC、WREAD1 可读性与误审批防护门禁、WADM1 自建留存/镜像数据模型设计和 WARCH1 最小历史留存，这不代表审批镜像已实现。PC 和移动页面体验以产品设计规则基线为依据，不重复定义通用审批链和移动导航规则。

 ---

@@ -49,7 +49,7 @@ REQAUD 复核后，ATTV1 已完成统一入口实现，当前运行时完成度
 | 请假对团队状态/日历的影响 | `DONE` | 已批准请假可作为团队状态和日历依据。 |
 | 企业微信打卡作为原始采集 | `DONE` | 由企业微信侧承载定位、人脸、Wi-Fi、设备和防作弊能力；OA 不重造。 |
 | 企业微信打卡 API 同步 | `PARTIAL` | 已新增同步批次和企微打卡摘要表；有已授权调用打卡 API 的自建应用 Secret 和企微权限时同步，缺配置时记录 `SKIP`。`WECOM_CHECKIN_SECRET` 可作为单独考勤同步应用的显式覆盖；未配置时复用已授权工作台应用的 `WECOM_AGENT_SECRET`。 |
-| 企微 HR/考勤审批镜像 | `POC_CHAIN_PARTIAL_READY` | WAPC2 已新增请假/补卡模板详情和低风险 `sp_no` 审批详情只读 POC；WAPC2FLIVE 已完成自动样件与 WAPC2 自动复跑；WCBK1 已完成真实回调 URL 验证和一条测试审批事件确认。后续 `wecom_attendance_approval_mirror_v1` 仍需外出/加班 POC、WACP3 补偿拉取 POC 和 WADM1 镜像数据模型。 |
+| 企微 HR/考勤审批镜像 | `POC_CHAIN_PARTIAL_READY` | WAPC2 已新增请假/补卡模板详情和低风险 `sp_no` 审批详情只读 POC；WAPC2FLIVE 已完成自动样件与 WAPC2 自动复跑；WCBK1 已完成真实回调 URL 验证和一条测试审批事件确认。后续 `wecom_attendance_approval_mirror_v1` 仍需外出/加班 POC、WACP3 补偿拉取 POC、WREAD1 可读性门禁、WADM1 自建留存/镜像数据模型和 WARCH1 最小历史留存。 |
 | 员工补卡申请审批 | `DONE_AS_OA_FALLBACK` | 当前 OA 能提交补卡修正；WFOC 后正常入口迁往企微，OA 仅在应急模式开放并进入恢复回写。 |
 | 外出申请审批 | `DONE_AS_OA_FALLBACK` | 当前 OA 能提交外出修正；WFOC 后正常入口迁往企微，OA 仅在应急模式开放并进入恢复回写。 |
 | 加班申请审批 | `DONE_AS_OA_FALLBACK` | 当前 OA 能提交加班修正；WFOC 后正常入口迁往企微，OA 仅在应急模式开放并进入恢复回写。 |
@@ -224,11 +224,13 @@ WFOC 后，正常审批规则优先以企业微信审批模板和打卡/假期
 - 当前 A0：`WECOM-RUNTIME-READY-V1` 已由 WRV1/WRA1/WMSG1 验证工作台入口、OAuth/绑定、脱敏消息、OA deeplink、通讯录 userid 清单、人事助手读取、打卡读取和真实消息回流；审批模板、测试 `sp_no` 和真实回调仍只记 `NEEDS_CONFIG`，继续阻断 A1。
 - 当前 A0.5：`WAPC1 审批配置准备`，先准备请假、补卡、外出、加班模板 ID、适用范围、字段项、审批人规则、可见范围、低风险测试 `sp_no` 和真实回调配置项；本阶段不接真实回调、不调用写接口、不进入镜像。
 - 当前 A0.6：`WAPC2 请假/补卡只读 POC` 已实现 runner；缺模板 ID 或低风险 `sp_no` 时保持 `PARTIAL_APPROVAL_POC_NEEDS_CONFIG`。
- 后续 A0.7：`WAPC2F 自动生成 POC 样件`，默认申请人 `SMOKE002`、审批人 `SMOKE101`，必须通过非自审预检；若 `SMOKE101` 不可用，不自动换人。
- 后续 A0.8：`WAPC2 自动复跑`，用自动样件的脱敏模板 ID 和 `sp_no` 复跑只读 POC。
- 后续 A0.9：`WCBK1 回调只读 POC` 和 `WACP3 补偿拉取 POC`，WCBK1 代码/synthetic 已部署但仍需管理员配置后证明真实回调验签/解密/幂等，随后证明按时间窗口拉审批单号/详情。
- 后续 A0.10：`WADM1 镜像数据模型设计`，先设计字段、状态机、幂等键、索引、隐私保留和迁移回滚。
- 后续 A1：`wecom_attendance_approval_mirror_v1`，同步企微请假、补卡、外出、加班审批、附件、历史和状态回调；该命名承接旧口径 `wecom_native_approval_mirror_v1`。WAPC2FLIVE 已生成请假/补卡 OA-POC 模板和低风险 `sp_no` 样例；正式开发前仍必须补齐外出/加班样例或处理决策、真实回调配置、回调验签/解密/幂等、补偿拉取、镜像数据模型和必要打卡细项 POC。
+- 已完成 A0.7/A0.8/A0.9：`WAPC2F`、`WAPC2FLIVE`、`WAPC2 自动复跑` 和 `WCBK1 回调只读 POC` 已证明请假/补卡 OA-POC 样件、只读审批详情、真实回调 URL、验签/解密和一条真实事件脱敏留证。
+- 当前 A0.10：`WEGOV1 企微主办治理与自建留存路线修正`，固定企微主办域、OA 主办域、OA 留存域、OA 应急域、受控测试域和自动化/人工边界。
+- 后续 A0.11：`WACP3 补偿拉取 POC`，证明按时间窗口获取审批单号并用 `getapprovaldetail` 拉详情，能与 WCBK1 回调事件对账。
+- 后续 A0.12：`WREAD1 审批可读性与误审批防护门禁`，真机确认请假、补卡、外出、加班在企业微信消息、列表和详情页中是否看得清，快捷同意/驳回是否容易误点。
+- 后续 A0.13：`WADM1 自建留存/镜像数据模型设计`，先设计字段、状态机、幂等键、索引、隐私保留和迁移回滚。
+- 后续 A0.14：`WARCH1 最小自建历史留存实现`，只读保存企微审批、打卡和人事关键快照，先满足企微不可用时可查看历史。
+- 后续 A1：`wecom_attendance_approval_mirror_v1`，同步企微请假、补卡、外出、加班审批、附件、历史和状态回调；该命名承接旧口径 `wecom_native_approval_mirror_v1`。WAPC2FLIVE 已生成请假/补卡 OA-POC 模板和低风险 `sp_no` 样例；正式开发前仍必须补齐外出/加班样例或处理决策、补偿拉取、可读性门禁、自建留存模型、最小历史留存和必要打卡细项 POC。
 - 后续 A2：企微打卡规则、排班、记录、日报、月报按域镜像，覆盖 Secret/API 权限、短窗口同步、错误码和脱敏证据。
 - 后续 A3：`oa_hr_emergency_mode_v1`，管理员人工接管、应急提交、应急审批和恢复队列。
 - 后续 A4：`wecom_recovery_writeback_v1`，企微恢复后 dry-run、自动回写、失败重试和冲突清单。
@@ -0,0 +1,8 @@
+ID,Title,Description,Acceptance,Test_Method,Tools,Dev_Status,Review1_Status,Regression_Status,Files,Dependencies,Notes
+"WEGOV1-0","合同建档与边界冻结","建立 WEGOV1 企微主办治理与 OA 自建留存路线修正合同；本轮只做 docs-only 路线和事实源治理，不改业务代码、不部署、不写 OA 或企微数据。","1) CSV 校验通过；2) 范围限定路线图、API 目录、审批/企微规约、管理员手册、索引、矩阵和项目 skill；3) 明确企微主办 HR/考勤、OA 主办财务经营和高敏业务；4) 不进入 wecom_attendance_approval_mirror_v1、应急接管、恢复回写或 RuleOps。","受影响流程：企微主办治理与自建留存路线修正；验证步骤：python3 /home/shunli/.codex/skills/plan/scripts/validate_issues_csv.py issues/2026-05-19_18-17-44-wecom-governance-owned-oa-archive-route-v1.csv。","python3|manual","DONE","DONE","DONE","issues/2026-05-19_18-17-44-wecom-governance-owned-oa-archive-route-v1.csv","[]","验证：CSV、文档审计、skill 校验、process baseline、关键词核验和 git diff --check 均通过；本轮未部署、未写 OA/企微数据。回滚/清理：撤回本轮文档和合同变更；本轮无数据库、配置、部署或企微写入。"
+"WEGOV1-1","固化混合主办边界","更新企微路线、统一审批和企业微信基础设施事实源，固定 HR/考勤日常流程企微主办，报销、采购、合同、项目、付款、发票、银行回单、高敏附件和经营审计 OA 主办。","1) 文档明确企微主办域、OA 主办域、OA 留存域和 OA 应急域；2) 文档不再暗示 OA 要重造企微完整打卡/考勤/HR 产品；3) 文档仍禁止把 OA 主办高敏审批迁入企微原生审批或企微附件。","受影响流程：HR/考勤、财务经营审批和系统边界判断；验证步骤：rg -n '企微主办域|OA 主办域|OA 留存域|OA 应急域|不重造企业微信|高敏附件' docs/企微优先开发路线图.md docs/需求-统一审批中心规约.md docs/需求-企业微信基础设施规约.md。","rg","DONE","DONE","DONE","docs/企微优先开发路线图.md|docs/需求-统一审批中心规约.md|docs/需求-企业微信基础设施规约.md","[""WEGOV1-0""]","验证：CSV、文档审计、skill 校验、process baseline、关键词核验和 git diff --check 均通过；本轮未部署、未写 OA/企微数据。回滚/清理：仅更新路线表述；不改变现有业务运行状态。"
+"WEGOV1-2","固化 OA 自建留存策略","在路线图、规约、API 目录和产品事实源中明确 OA 数据库保存企微关键历史和外部关联键，用于历史查看、对账、补偿和后续恢复；V1 不保存 Secret、token、EncodingAESKey、原始密文或无治理原始 payload。","1) 保存范围覆盖审批单号、模板、申请人、审批人、状态、时间、审批历史、表单字段摘要、打卡记录摘要、打卡规则快照、假期余额摘要、人事花名册快照、回调事件和补偿拉取记录；2) 目标表述为企微不可用时可查看历史，不是完整替代企微继续办理；3) 原始 payload 如需保存必须另行设计加密存储和访问审计。","受影响流程：企微历史查看、补偿拉取、镜像数据模型和应急接管前置；验证步骤：rg -n '自建留存|历史留存|完整外部关联键|企微不可用时|原始 payload|加密存储' docs .agents/skills/hyb-oa-delivery/SKILL.md。","rg","DONE","DONE","DONE","docs/企微优先开发路线图.md|docs/企微API能力目录.md|docs/产品口径.md|docs/需求-企业微信基础设施规约.md|docs/需求-统一审批中心规约.md","[""WEGOV1-1""]","验证：CSV、文档审计、skill 校验、process baseline、关键词核验和 git diff --check 均通过；本轮未部署、未写 OA/企微数据。回滚/清理：只固化后续数据策略；不新增 schema、不导入历史数据。"
+"WEGOV1-3","固化企微测试环境治理","明确企业微信自建应用没有完整隔离 sandbox 假设；后续默认使用真实企业内受控测试域、本地 synthetic 自动测试、公网 live runner 和少量真机确认。","1) 文档记录受控测试域口径：SMOKE002 -> SMOKE101、OA-POC 模板、低风险审批单和脱敏报告；2) 能自动生成、自动检查、自动复跑的优先自动化；3) 人工仅处理后台不可 API 化配置、密钥填入、可信 IP/可见范围、正式写入批准、真机确认和风险拍板。","受影响流程：企微后续开发、测试和验收；验证步骤：rg -n '无完整.*sandbox|受控测试域|SMOKE002 -> SMOKE101|OA-POC|真机确认|自动生成' docs .agents/skills/hyb-oa-delivery/SKILL.md。","rg","DONE","DONE","DONE","docs/企微优先开发路线图.md|docs/企微API能力目录.md|docs/管理员手册.md|docs/开发交付与变更管理规约.md|docs/测试规约与回归门禁.md|.agents/skills/hyb-oa-delivery/SKILL.md","[""WEGOV1-2""]","验证：CSV、文档审计、skill 校验、process baseline、关键词核验和 git diff --check 均通过；本轮未部署、未写 OA/企微数据。回滚/清理：只调整测试治理口径；不改远端企微后台配置。"
+"WEGOV1-4","调整后续阶段顺序","把 WCBK1 后路线调整为 WEGOV1 -> WACP3 -> WREAD1 -> WADM1 -> WARCH1 -> wecom_attendance_approval_mirror_v1 -> oa_hr_emergency_mode_v1 -> wecom_recovery_writeback_v1 -> wecom_ruleops_v1。","1) 路线图、API 目录、审批规约、管理员手册、索引和 skill 均出现 WREAD1、WARCH1；2) 文档明确 WACP3 证明补偿拉取，WREAD1 证明审批可读性和误审批防护，WADM1 先设计自建留存/镜像模型，WARCH1 再实现最小历史留存；3) 不得跳过 WACP3/WREAD1/WADM1/WARCH1 直接做深度镜像。","受影响流程：企微审批/考勤后续开发排序；验证步骤：rg -n 'WEGOV1|WACP3|WREAD1|WADM1|WARCH1|wecom_attendance_approval_mirror_v1' docs .agents/skills/hyb-oa-delivery/SKILL.md。","rg","DONE","DONE","DONE","docs/企微优先开发路线图.md|docs/企微API能力目录.md|docs/需求-统一审批中心规约.md|docs/管理员手册.md|docs/文档索引.md|.agents/skills/hyb-oa-delivery/SKILL.md","[""WEGOV1-3""]","验证：CSV、文档审计、skill 校验、process baseline、关键词核验和 git diff --check 均通过；本轮未部署、未写 OA/企微数据。回滚/清理：路线顺序治理，不实现 WACP3/WREAD1/WADM1/WARCH1。"
+"WEGOV1-5","回写索引矩阵和项目 skill","更新文档索引、事实源矩阵、管理员手册和 hyb-oa-delivery skill，登记 WEGOV1 当前事实和后续读取规则。","1) 文档索引和事实源矩阵登记 WEGOV1；2) skill 提醒企微开发采用混合架构、自建留存、受控测试域和 WEGOV1 后顺序；3) 管理员手册明确哪些动作我可自动做，哪些需要管理员人工处理。","受影响流程：后续 agent 读取顺序、管理员操作边界和事实源选择；验证步骤：node scripts/qa/audit-docs.mjs --check-registry；python3 /home/shunli/.codex/skills/.system/skill-creator/scripts/quick_validate.py .agents/skills/hyb-oa-delivery。","node|python3","DONE","DONE","DONE","docs/文档索引.md|docs/文档事实源状态矩阵.md|docs/管理员手册.md|.agents/skills/hyb-oa-delivery/SKILL.md","[""WEGOV1-4""]","验证：CSV、文档审计、skill 校验、process baseline、关键词核验和 git diff --check 均通过；本轮未部署、未写 OA/企微数据。回滚/清理：只回写索引、矩阵、手册和 skill；不触碰业务代码。"
+"WEGOV1-6","门禁验证、状态回填和提交","执行 WEGOV1 Test Plan，按真实结果回填状态，完成中文提交。","1) WEGOV1 CSV 校验通过；2) 文档审计、skill 校验、process baseline 和 git diff --check 通过；3) 关键词核验覆盖主办域、自建留存、无 sandbox、WREAD1、WARCH1；4) 中文 commit 引用 WEGOV1。","受影响流程：WEGOV1 交付闭环；验证步骤：python3 /home/shunli/.codex/skills/plan/scripts/validate_issues_csv.py issues/2026-05-19_18-17-44-wecom-governance-owned-oa-archive-route-v1.csv；node scripts/qa/audit-docs.mjs --check-registry；python3 /home/shunli/.codex/skills/.system/skill-creator/scripts/quick_validate.py .agents/skills/hyb-oa-delivery；node scripts/qa/check-process-contract.mjs --baseline --json；git diff --check。","python3|node|git|rg","DONE","DONE","DONE","N/A","[""WEGOV1-5""]","验证：CSV、文档审计、skill 校验、process baseline、关键词核验和 git diff --check 均通过；本轮未部署、未写 OA/企微数据。回滚/清理：本轮不部署、不写数据库、不调用企微写接口；失败时保留真实失败原因，不伪造成 DONE。"