诊断(08-08-production-authenticated-readiness): 只读核定生产验收账号

.trellis/tasks/08-08-production-authenticated-readiness/prd.md

@@ -76,12 +76,12 @@
 
 - [x] AC1：生产运行/公网 SHA 对应已部署产品候选 `0224ad8`（短标识 `0224ad83d7f8`）；65 条 migration 仍全部 applied、pending=none，未触发部署或 schema 写入。
 - [x] AC2：任何登录前已对管理员、员工完成同一 `BEGIN READ ONLY` 查询合同；查询设计覆盖 `matchedBy`、active/archived/locked、失败计数和期望角色是否就绪。两个 identifier 实际均 `matchedBy=none`，故账号属性记为 `N/A` 而非生产事实，不含账号或凭据明文。
-- [x] AC3：两个仓库外 identifier 均为 `matchedBy=none`，结论为不符合现行 email/phone 精确登录合同；登录尝试数保持 0，未用旧密码试错，恢复仓库外凭据前保持 `PAUSED`。
-- [ ] AC4 — PAUSED：管理员、员工合法新鲜凭据尚未恢复；本轮各角色登录尝试均为 0，没有使用旧凭据消耗一次预算。
-- [ ] AC5 — PAUSED：因登录前 identifier 门禁失败，未建立管理员会话，未进入合同详情或终止面板；终止端点 `POST` 计数为 0，确认层未打开。
-- [ ] AC6 — PAUSED：因登录前 identifier 门禁失败，未执行员工权限负向或 archived/terminated 样本 UI 检查；未扩大权限、修改断言或制造数据。
-- [x] AC7：验收前后均为 `terminatedRows=0`、`rollbackWindow=OPEN`、`basis=terminated_status_count`；窗口未变化，本任务真实合同终止写入计数为 0。
-- [x] AC8：只读 reviewer 最终结论 `PASS`，已复核账号诊断、登录尝试计数、终止请求计数、窗口双快照和证据脱敏；task validate、process contract、governance、sensitive scan、diff check 均通过。
+- [x] AC3：两个仓库外 identifier 均不匹配 email/phone/employee_no。只读角色候选与远端内存密码 hash 比对进一步证明：唯一活跃管理员可解析为 email、未锁定、失败计数为 0，但现有管理员密码不匹配；员工有 5 个活跃非管理员候选，现有员工验收密码对这些候选的匹配数为 0。登录尝试保持 0，未输出 identifier/hash。
+- [ ] AC4 — PAUSED：管理员正确 identifier 已在只读内存中唯一解析，但现有密码确认失效；员工目标账号仍不唯一，现有验收密码不匹配任何活跃非管理员候选。密码重置或账号选择需要单独批准，本轮各角色登录尝试均为 0。
+- [ ] AC5 — PAUSED：管理员 identifier 已解析但密码不匹配，未建立管理员会话，未进入合同详情或终止面板；终止端点 `POST` 计数为 0，确认层未打开。
+- [ ] AC6 — PAUSED：员工目标账号未唯一确定且现有验收密码不匹配活跃候选，未执行权限负向或 archived/terminated 样本 UI 检查；未扩大权限、修改断言或制造数据。
+- [x] AC7：初始、登录前停止后、扩展只读诊断后共三次窗口证据均为 `terminatedRows=0`、`rollbackWindow=OPEN`、`basis=terminated_status_count`；窗口未变化，本任务真实合同终止写入计数为 0。
+- [x] AC8：扩展诊断的只读 reviewer 首轮 `PASS_WITH_FINDINGS` 已完成措辞修订，最终复查为 `PASS`；task validate、process contract、governance、sensitive scan、diff check 均通过。
 - [x] AC9：结论明确为产品已部署、生产基线健康，但登录态验收仍 `PAUSED`；当前不得告知用户可以测试。
 
 ## Out of Scope