hyb-oa/.trellis/tasks/09-08-reimbursement-payment-closeout/implement.md

2026-10-11 报销真实 OCR 余项移交（当前文档接续点）

接收来源任务 08-29-reimbursement-expense-policy-invoice-guard 与部署子任务 08-30-reimbursement-expense-policy-invoice-guard-deploy 的报销发票 OCR 及财务科目映射余项；合同入口为 PRD 的移交节。本节不更新下方其他工作线的历史结果，独立复核与真实银行/通知/恢复等义务继续按原合同跟进。

本轮文档移交

• 对照原父任务最新记录，区分指定样票真实腾讯单独调用、mock 提供商隔离审批整链、真实腾讯线上合成草稿三层证据；原 2026-09-10 草稿 PASS 不降级，也不扩大到公网审批或全票种。
• 双向登记 RC-OCR-1–4、责任和退出条件；接回 RC-ACCOUNT，保留财务负责人、原已过目标日期和无科目表留空规则。
• 本机确认 live-draft-result-v6.json、live-draft-final-readback.json 及原测试脚本仍在既有发布目录；本轮未重跑它们。本地 Git 祖先检查确认 6e999d5、e5685f1 已包含于用户报告的生产版本 4a5cd8f2，不据此声称本轮公网复核或业务验收。
• 基线 89f46790 的本地文档移交检查通过：三个任务 task.py validate、流程基线、Trellis 治理、敏感内容扫描与 git diff --check 均 exit 0；文档登记检查 errors=0、warnings=1（既有 22 个文件未登记）。完整差异仅三个任务的 prd/implement/notes，历史正文与复选框保留，状态/提交锚点/任务关系未改；未跑业务回归、云端或公网检查，不是独立复核。
• 补充核对通过：九文件范围、新移交链接/锚点、JSON 末尾换行及历史 notes 后缀均正确。正文保留检查初版用“原全文必须是连续子串”误把标题后插入判为改写；修正为逐行仅允许新增后通过，没有为此改动历史正文。
• 未提交、未归档，两个来源任务仍为 in_progress；不以移交自动授权完成旧部署清单或原生产操作。

后续验收接续（未执行）

1. 执行端先界定候选、环境和样票，复用原脚本前核对其当前合同；提供商检查与业务上传使用同一获准样票摘要，不能复用真实票号绕过查重。
2. 明确云调用与业务写入范围、测试身份、审批隔离及清理前提后，再执行 PRD 的 RC-OCR-1–4；前提不足保留缺口，不反复尝试生产登录或交给真人员工试错。
3. 逐项回填字段一致性、实际队列及状态、页面/数据库消费者、异常回归和清理结果；区分草稿、审批、付款及既有 mock 证据。只有本项全部退出条件满足后才可收口 RC-OCR。
4. RC-ACCOUNT 等财务正式映射及回填日期；没有依据保持 null，生产回填另批。旧独立复核余额仍由本任务已有复核工作线跟进，不把主会话文档检查记为独立通过。

本轮仅任务文档，不改产品/规约/数据库，不跑业务回归或完整发布门禁。没有新增可复用工程规则，沿用现有 docs-and-evidence.md 与报销 OCR 规约。

2026-09-19 当前进度：本地完整验收通过

g20-full-r6从static完成同一冻结候选：后端4437通过/1原条件跳过、372本地浏览器全过，零失败/跳过/重试；33页与33PNG、采购/报销付款整链、新旧编号及财务同页进度全部通过。回执PARTIAL仅dirty_candidate，localChecksPassed=true，无部署资格；环境/输入/归属清理PASS。

编号N5和P6–P10本地验收完成。余项为独立只读复核、R1真实入口/干净候选/提交部署及12项公网义务、生产编号摘要与启用、原task外部业务/K1/K2证据，以及旧WebKit派生registry保护异常。原保护FAIL保持，r6没有新增漂移，其余12137旧文件与HEAD/index不变；旧恢复不重跑。无提交推送部署/归档或线上编号启用。

详尽结果、真实计时口径、证据入口及授权边界统一见09-06-release-gate-integrity/implement.md顶部。本次运行结束后的变更仅为task收口记录，原回执绑定运行时冻结输入，不能代表记录更新后整树。独立PENDING，整体in_progress。

2026-09-19 四文件定向通过，接完整候选r6（当前入口）

r5-fixed-r2四完整文件31/31通过，浏览器约5.5分钟、受管总571.747秒，零跳过/重试；采购整链、R75四项、付款提交至归档全链及视觉25项通过。付款约244.773秒，保持300秒；视觉7组各180秒、25PC+8手机/33PNG全部完成、覆盖问题与findings为空。环境/source/repository/owner清理PASS。原r5完整FAIL与r5-fixed-r1登录跳转失败均保留，不拼接为完整通过。

P10采购提交后读取边界167/167及QA专用类型已通过；登录仅在无query/hash的规范/login复用，保留原表单/portal/profile断言。下一g20-full-r6从static开始普通完整候选，全部源码/测试/task/spec/docs冻结，只写本轮ignored证据；N5/G20及产品完整负载验收仍待终态，独立PENDING、生产编号未启用。

旧WebKit派生registry保护异常保留，原baseline不改；后续运行使用本轮独立WebKit副本，不下载或安装。禁止将一处已知漂移描述为全部旧材料零变化；无提交推送部署或真实操作。

2026-09-19 r5结果与本地续修（当前入口）

完整r5未通过：static及11浏览器前置阶段通过，后端4428通过/1原跳过；372本地浏览器为367通过、1失败、2超时、2串行未执行，零重试。采购PATCH保存P2028、视觉admin最后一页及付款下游耗尽预算，均保留原失败。R75、新旧BX/PB和财务同页进度已在本轮完整负载通过，但N5/G20仍开放。

采购P10将仅供响应的多级详情读取移到写事务提交后，保留锁/校验/写入/审计与5000ms；原实现4红、修后167/167通过。视觉/付款仅减少重复RPC和同角色重复登录，7组180秒及付款300秒、全部断言/并发/零重试保持，专用类型通过。官方current 09-06继续四个原完整文件定向，之后冻结输入从static跑新完整候选。

旧WebKit自动生成registry出现一处字节变化，原保护FAIL与改写副本保留，未重签baseline；其余12137旧文件及HEAD/index不变。后续WebKit使用本轮物理独立副本；Chromium等既有只读二进制链接保留。独立PENDING、生产编号未启用，无提交推送部署或真实操作。

2026-09-19 完整候选接续

grouped-visual-r1完整文件25/25通过（7真实组＋13覆盖正反例＋5原到达用例），浏览器91.788秒、受管总352.799秒；25PC+8移动全部审完，33PNG、findings为空、覆盖问题为空，环境/输入/owner清理PASS，零跳过/重试。P9/编号N5/G20仍待新完整负载验收；由官方current 09-06从static开始g20-full-r5，运行时全部受管输入冻结，独立PENDING。

2026-09-18 P9与全页面分组接续（当前入口）

P9最小优化已在服务器请求内共享权威报销预检读取，并删除同事务已有数据的重复查询；5000ms/锁/权限/预算/审批原子性保持。无预载p9-fixed-r3的R75四项与付款完整链通过，只有视觉累计180秒超时，不能写作新完整通过。

用户已明确批准33页按角色/电脑手机拆为7组、每组180秒；全部页面/断言/截图/全局并发/零重试保留，新增精确覆盖与失败组拒绝。09-06正在实施与定向验证，随后冻结输入从static开始普通完整候选；后端完整单测4428通过/1原条件跳过，644输入核验零变化。下文原33页累计180秒及P9未实施为历史状态。

N5/G20/P9完整验收仍开放，独立PENDING、生产编号未启用。旧差异/34目录12138旧证据保护，本轮仅本地合成，不提交推送部署或读取真实资料。

2026-09-18 编号本地实现与浏览器专项收口（当前入口）

编号矩阵经小团队可读性、财务核对、旧业务/银行引用、并发容量、切换回退与维护成本复核，已按批准范围完成本地实现：BX按月；PB/JK/HK/CG/PD/自动PRJ按年；FA/EA永久递增。旧号、已有草稿规则归属、来源快照和银行行身份保留；迁移默认不激活，线上仍未启用。

官方current已回09-06-release-gate-integrity。本轮numbering-browser-closeout-20260918取得：新旧BX的PC/手机列表搜索详情最终1/1通过；新旧PB与混合来源消费者通过；付款路由自然排序完整129/129通过；浏览器专用类型通过；browser-r2真实合成报销付款链通过（含财务同页进度与回单核销归档）。编号后端/PG原证据及冻结包保持，各轮结果不拼作新完整通过。

原DG7/R3整例已通过，视觉文档404和认证前置问题已按证据修复；普通G20仍受两项阻塞：33路由全页面180秒超时（最新13页到达），R75报销提交P2028（5412/5000ms）。后者已在09-18-local-concurrency-product-fixes登记P9待分析/设计/实施，未凭猜测改业务事务。后续先分别完成耗时分析与P9最小方案/回归，再原整文件定向及从static重新完整门禁，纳入两条新增编号用例，不改预算/并发/重试求绿。

编号N5和G20保持未完成，独立只读复核PENDING。受管环境/输入/清理PASS，352项旧差异快照、31目录11427份旧证据按本轮保护检查核验；最终治理/保护/增量候选回执在新证据根单列。未读真实配置/密钥/备份，未连接ARM或重跑恢复，未提交推送部署、生产写入或真实企微付款。当前阶段不请求重复实施许可；未来生产摘要及启用仍需明确授权。

2026-09-18 编号实施接续（历史阶段）

用户已明确授权复核编号矩阵适合后实施。官方current进入09-18-reimbursement-periodic-numbering；新计数/策略及创建入口本地已实现；完整后端4412通过/1原跳过，之后策略边界补验456/456及隔离PG复验通过；迁移默认不启用、旧编号/未编号草稿归属及银行引用保留。该任务证据单独存business-numbering-20260918，未覆盖本task的任何失败/冻结包。原G20四未过、后续完整门禁、独立PENDING与公网义务保持，不把编号单测/PG通过折算为G20通过。未提交推送部署、未读取生产编号分布或启用线上策略。

G20 八文件定向结果与编号调研续项

g20-affected-r1结束FAIL，806.364秒；34项30通过、2超时、2失败，零重试。环境/source/repository/owner清理PASS。资产、R75原整文件、PA6角色矩阵、R92与onboarding通过；DG7首页整例和R3直连整例超时，全页面文档请求缺text/html Accept触发404，付款整链在财务通过后的API会话读取失败。阶段日志已证明发票popup完成，不再猜该处卡住。原失败保留；后续需逐项证据修复，再从static完整候选，当前不能全量结案。

用户已选报销按月，随后新增要求调研全部在用编号及国内财务/OA/ERP惯例，结合不足10人科技初创公司。归属09-18-reimbursement-periodic-numbering，当前只读调研/更新规划，尚未改编号代码；其他编号实施范围待定，不将调研视为生产改号授权。

2026-09-18 新增编号规划（待周期决定）

用户认为报销序号长期累计不合适，已建09-18-reimbursement-periodic-numbering规划。建议按月BX-YYYYMM-0001，旧单/已有草稿不改号、付款规则不动；偏好问题待答，未实施编号新规则。原G20本地缺陷修复继续，不因新规划暂停或隐式授权生产变更。

2026-09-18 G20 第四轮终态与续修

g20-full-r4 FAIL，5768.636秒；static239.024秒PASS，内部11阶段PASS；后端4367通过/1原条件跳过，8组启用服务回归通过/7组原关闭不计通过；浏览器351项=342通过/5失败/3超时/1串行后继未执行，零重试。环境、source/repository未变和owner清理PASS。资产及账号创建两处P2028由09-18-local-concurrency-product-fixes接最小修复；当前不是全量通过。

QA续修保持原分母、预算、并发和断言：DG7确认停在登录输入框，改为自动等待既定账号入口；R92导航后回登录，user-onboarding提交改密后失去会话，核路由mock与SW/refresh会话边界；PA6确认第7次角色登录耗尽180秒，同角色PC/移动复用一次独立会话，保留全部角色/入口/管理菜单/API403；全页面180秒只到9/33页，利用真实应用导航减少重复装载，保留25PC+8移动/14系统页、目标文档HTTP、实际URL/标题及全部视觉/错误断言。报销付款整链300秒超时但无精确动作栈，先增加安全阶段诊断和查实际停点，不先猜产品根因或放宽预算。R75后继跳过随原整文件重验，不能当通过。

顺序：产品边界红/绿与相关回归→各在用QA夹具/冗余前置修复→原完整文件定向验证→冻结输入、从static开始新完整候选。定向通过不拼接旧完整结果，主会话检查不抵扣独立PENDING。原失败、322项旧差异及29目录9762旧文件保护不变。

用户另行明确批准仅查看线上指定PB-20260917-001审批人；北京时间12:14只读确认draft/3项pending、无复核/执行，真实业务提醒对象为负责人，个人应用消息已有发送成功记录（不证明已读），另两名称为测试的在职经理账号符合现有资格。仅查询，没有业务/配置/企微写入；核实其用途和待办引用后才可提出权限收回，不自动停用。此授权不扩展到ARM、备份、恢复、生产改动或部署。

2026-09-18 G20 接续执行（最新用户批准）

完整候选前三轮失败原样保留：r1生命周期超时，r2清理退出结构漂移已修，r3两项生命周期超时。当前已减少假命令重复启动开销并保持完整命令trace；52生命周期＋22初始化＋39安全共113/113通过。下一g20-full-r4从static重新全量执行，351本地浏览器集合未变，不以定向结果替代完整门禁。

G20a WebKit报销离线1/1已验，当前仅证明官方Debian11冻结运行时v2105/26.0。G20c本地共享回执机制已实现，168项QA及39项部署安全通过；最终补充反例和普通完整运行继续，结果见09-06顶部及本轮证据。旧差异322项和29目录/9762文件保护通过；未提交部署。

用户在解释 WebKit 用途及五组余项后明确“按照这个规划开始执行，非必要不暂停，尽量做完”。本轮据此批准官方 Playwright WebKit 运行包下载到本轮独占缓存，及既定本地完整验收和共享候选回执机制实施；不再列下载授权待答复。仅运行包，不隐式安装系统包或修改共享缓存；业务测试继续无外联合成环境。

沿用 G19 分层合同。先补 WebKit 真实启动/报销离线敏感证据单例，再普通 full-local。受管运行期间源码/测试/task/spec/docs冻结，只写本轮 ignored artifacts。旧失败/旧候选不覆盖。

• G20a：建立旧差异/冻结材料保护基线，官方包独占下载、运行时依赖/启动探针，WebKit原单例重验。
• G20b：普通完整 full-local（351本地用例＋配套后端阶段），零重试/默认并发/原预算，保留所有失败及真实阶段耗时；只修在用缺陷/已批准合同漂移。
• G20c：实现来源/策略/环境/阶段/实际覆盖共同绑定的共享候选回执与离线验证入口，复用现有G19/sourceSnapshot/environment，不新增发布平台。设计细节补在design后再编码。
• G20d：逐项反例、fake命令捕获、源码变异和既有部署生命周期回归；只验证机制，不连接真实发布入口强制消费。
• G20e：本地检查、规约/协调状态、独立复核交接与新候选冻结；外部事实/12公网义务/真实R1启用/提交推送部署保持分别授权。

新证据：artifacts/qa-layout/release-receipt-g20-20260918。主会话inline，独立PENDING；无生产ARM、真实配置密钥备份、真实企微付款/恢复或旧恢复重跑。WebKit与后续本地实施连续推进，不以范围内常规决定反复暂停。

2026-09-18 G19 分层验收已实施并完成本地针对性验证（最新状态）

用户已明确批准分层方案，已正式更新 R2 并落门禁：全部非 manual 仍发现；12 公网逐项保留为同候选发布后必跑；2 条冻结差旅原源码/历史结果保持，当前改验两条冻结保护。没有恢复权限或旧整链，没有公网/企微/真实付款操作。

• 最终发现 65 文件/365 用例：351 本地用例（59 文件）、12 公网义务、2 冻结旧链，0 遗漏/未知/重复。351 已包含两条新保护，分母不重复加数；发现不等于执行。
• 受控清单绑定用例身份/原源码摘要/原因/入口/责任角色。普通 runner 从完整发现派生执行集合，并校逐项结果；漏例、漂移、未知、重复、跳过、重试、expected-failure、伪通过和候选不一致拒绝。定向仍无发布资格。
• 门禁 74/74 与诊断结果 7/7 合成检查通过，含真实 runner 调用及删除覆盖消费的源码变异。首轮夹具独占文件问题、第二轮五项30秒超时均保留；最终单独运行使用原预算，没有增加超时或降低断言。
• g19-freeze-r2 2/2 真实本地浏览器通过：合成员工创建403/无差旅导航，普通财务对账和三类导入403/无差旅导航，财务主管共享付款就绪检查包含差旅冻结 blocker。环境/输入/清理 PASS。首轮测试读取不存在的 me.permissions 失败已保留，改验正式 roleCodes 与接口行为。
• 当前财务主管仍有 integration.manage，受管合成 runner 仍为既有底层回归启用 travel sync；没有声称所有差旅接口关闭。旧整链未通过/未执行，不因保护通过改写历史。
• 本地回执明确公网 NOT_RUN_LOCAL、完整交付 INCOMPLETE、normalReleaseEligible=false。离线公网结果验证器要求 live profile、同源码/部署候选及原始逐项结果；未接真实部署入口，不能独立证明远端身份。实际公网责任人尚未指派，证据仍缺。

本地证据、新候选及余项：artifacts/qa-layout/local-coverage-g18-20260918。最终验证/保护/候选摘要分别为 final-check-summary.json、protection-result.json、candidate-integrity.json；旧完整 full-r2 保持失败，未重跑普通全量。主会话检查不是独立审阅，独立 PENDING。

接续顺序与余额

1. WebKit 官方独占缓存下载问题仍待答复；其真实离线用例未验。条件齐备后跑 普通完整门禁，不拼接定向绿；不得恢复旧差旅或放宽并发/预算求绿。
2. G20：基于 G19 最终归属合同继续共享候选回执/逐阶段验证/skip和变异反例；真实 R1 强制消费启用另行批准。先完整阶段与 source/environment 绑定，再 fake 工具验证零发布写入，最后独立复核；当前未启用真实入口。
3. 独立只读复核现有 K0/报销付款/借款/QA 与本次产品候选；inline 自检不抵扣。
4. 经另批范围补真实付款复核人及企微个人发送事实、银行接受性、K1 保管/K2 新绑定、事件/自然业务证据；旧恢复不重跑。
5. 经明确授权后提交推送、干净候选完整门禁/独立重跑、部署，再兑现 同候选12条公网义务。未部署前不能告知可公网测试。

借款 T1–T4、报销同页进度/付款排序/候选人通知事实展示、ERP 专属精简与 strict 遗留0保持此前本地成果；本轮无提交/推送/部署/归档，不把本阶段完成说成所有任务结束。

2026-09-18 G18 接续结果（最新协调入口）

本轮完成OCR能力接线、R108现行报销/离线队列覆盖、14系统页展开及真实路由到达验收；修复票据详情URL双写导致的人工修正失效。另由09-18-local-concurrency-product-fixes拥有PWA更新事件缺口及采购创建事务缩短：不改权限/审批/审计、事务或浏览器预算、并发/重试。

• 最终共享入口回归 g18-final-ux-ocr-r4：18/18通过，含完整认证/门户16项与OCR2项；新PWA生命周期13项连同采购回归共131项Vitest通过，QA接线39项按未变输入复用。
• 不带预载的 g18-concurrency-fixed-r3：原资产/采购/付款/PWA四文件4/4通过，583.240秒；4 workers/零重试/原预算，995服务响应、0未处理异常。PWA文档B/active controller/worker摘要、68新缓存和2实际加载资源、旧独有缓存0，零登录回退/静态404。
• R108已完整通过：8移动观测/0发现，员工审批403、经理正式通过，当前approve/return/no-reject及离线队列；路由验收25PC+8移动、14系统页、0发现，另5个正反对照通过。只证明矩阵内覆盖。
• G18时点完整发现64文件/363用例，缺失/未知/重复0；枚举与临时构建摘要采集成功，仅枚举不等于执行。所有完整受管轮均核环境/source/repository/owner清理，失败原件保留。

此前两次并发采购P2028和PWA未收敛均保留。诊断区分了事件循环拥堵/池排队与PG等待（729采样未见Lock）；这不是全仓CPU根因证明。原full-r2 65/359、326 passed/12 failed/5 timedOut/16 skipped保持失败，最新候选未再跑普通整套，局部结果不能拼接全量通过。

证据/新复核包入口：artifacts/qa-layout/local-coverage-g18-20260918。最终治理、敏感/diff、保护与冻结以final-check-summary/protection-result/candidate-integrity为准；主会话检查不代替独立PENDING。保留304项原差异快照、27旧目录/9004文件以及HEAD/index，不覆盖旧冻结包。

尚需推进

1. 12条公网用例和2条冻结差旅的验收归属：入口/责任角色/证据缺口已列g18-gate-ownership.json；G19分层验收已获用户明确批准并完成本地实现/验证，12项公网仍须同候选发布后执行，未运行公网。
2. WebKit真实运行条件及现有离线用例未验；此前官方独占缓存下载问题仍待答复，不联网安装。
3. 条件齐备后完整普通门禁及R1共享回执/拒绝反例；独立只读复核与R1真实强制消费启用单列，不能用本轮定向绿抵扣。
4. 真实付款处理人/企微个人发送、银行/OCR样本、K1保管事实/K2新绑定、事件和自然业务证据仍未执行；旧恢复不重跑。
5. 提交/推送、干净候选完整验证、部署/公网验收仍需原明确授权。借款T1–T4、ERP退役、strict遗留0保持此前本地完成，未据此上线。

后续具体状态与最小步骤见remaining-work.json；当前task及协调task保持in_progress。

2026-09-18 G16/G17 门禁接续结果（最新协调入口）

官方 current 仍为 09-06-release-gate-integrity。普通完整 full-r2 已运行：65 文件/359 用例，326 passed/12 failed/5 timedOut/16 skipped；后续 14 条原失败观测已有当前合同定向通过，另补原 R75 串行未执行 2 条；WebKit 1 条缺运行时、冻结差旅 2 条保留。当前发现 64/358 对应严格重复付款整例退役，无缺失/未知；枚举包装器临时摘要采集告警保留。不是一次全量通过，原结果不回写。

账号强制改密/场景8及批次付款拒绝/资产编号/合成通知配置已接现行合同；合同管理对照和原只读整例 4 类实际页面动作非零反例完成本地验证。审批进度、付款、回单、核销/PDF/审计/AP 整链及真实 PWA 单独通过。PWA/事务/长链的完整并发稳定性不据单独通过关闭。20 路由项视觉矩阵通过，但 /system/* 未展开，不能称全部页面覆盖。

本轮证据与增量候选在 full-gates-followup-20260918；旧 25 目录/7656 文件及 290 项原差异快照按 protection-result 核验保留。最终检查/候选摘要见同目录回执，独立 PENDING。借款 T1–T4、ERP 退役与 strict 遗留 0 维持此前本地完成，旧“借款尚未实施/ERP17余额”是历史状态。

余项按 09-06 implement 顶部六组接续：G18 本地 OCR/R108/真实路由覆盖；完整集合归属与并发可靠性；WebKit；R1/独立审阅；真实批次/个人通知/银行/K1/K2/恢复事件及自然业务事实；最后才是另批提交发布。真实处理人/企微个人发送尚未查询，借款未据此上线。未连接生产/ARM、读取真实秘密配置备份、重跑旧恢复、提交推送部署归档或发送真实通知/付款。

2026-09-18 在用门禁本地接续收口（最新协调入口）

官方current已切回09-06-release-gate-integrity并完成G12/G13及G15本地交接：原58观测现53重验通过（52浏览器＋1静态）、4旧/冻结排除、1WebKit缺运行时未验，原54失败/4超时不回写。真实PWA同profile升级、报销主管→财务审批且财务当前页进度更新、独立付款/回单/核销/审计/AP/票据归档整例通过。只修保留测试/QA前置，未追加产品权限/UI；证据及新复核包在retained-gates-closeout-20260917。

本轮消化此前39条保留未验中的38条，1条WebKit仍开放；不是清空全部发布条件。普通full-local尚未接新合成改密、4排除项完整发现归属/冻结流程、原AC7管理对照与独立反例、场景8及R1保持余额，具体顺序已写09-06 design/implement。借款T1–T4和ERP退役维持上批本地完成，独立PENDING、真实批次姓名/企微个人结果未查、银行样本/K1/K2/自然业务及发布条件仍开放。没有提交推送部署、生产/ARM/秘密备份访问、真实通知付款或重跑旧恢复。

2026-09-17 本批本地完成回执（最新协调入口）

本次三项已执行到本地验证：09-04财务审批原地进度与付款单号自然排序修复，追加付款待办姓名/站内提醒对象/企微个人发送事实；09-17借款本金台账到还本、回单、核销与会计交接T1–T4；09-17 ERP专属退役（6个service、1个job、14个专属测试）。共享企微/通知/outbox、历史迁移和冻结材料保留，工资/绩效/预算不退役。strict遗留基线已随最后17条ERP源码移除到0。

借款最终72迁移、9组PG约束/并发、16组正式认证HTTP、3组PC/手机/员工403浏览器通过；报销原地进度15/15、ERP后付款128/128与各受影响回归、最终typecheck/build及Prisma通过。官方current保持09-17-company-loan-principal-repayment，借款和ERP task仍in_progress；精确回执/本批冻结候选见对应implement顶部。

未部署、公网不可据此认定更新；真实付款批次姓名与企微送达未查。独立只读复核PENDING、真实银行/OCR样本、实际密钥保管/恢复事实与发布前条件仍开放。下面39条历史门禁和恢复/真实业务缺口保留，不能被本轮合成通过自动关闭。未提交推送、不连接生产/ARM、不读真实配置/密钥/备份、不重跑旧恢复。

执行顺序（本地技术审查/修复已批准，真实业务动作另批）

2026-09-17 新指示：真人问题、借款实施、精简

用户新增三项执行指示。优先顺序调整为：09-04修财务审批后进度原地更新及付款详情报销单号排序；09-17沿既有公司借入人民币本金台账与归还方案进入本地实施；精简从已明确不接ERP的专属消费者和确定废弃测试开始审查依赖并另立具体删除合同。下文借款暂缓属于历史安排，不再代表当前开发优先级。39条旧门禁重验保持记录，按本次触达范围执行必要回归。

借款本地仅合成身份/资料/隔离库，不生成真实余额或付款；恢复/密钥保管、独立复核及迁移发布前条件仍开放，不由开发优先级调整抵扣。精简不删历史表/迁移/冻结包/审计，不把企微同步摘要或通知outbox随ERP删除；工资绩效等仅候选模块先核明确范围。提交推送部署、真实业务写入与恢复仍未授权。

2026-09-17 门禁接续结果与剩余（最新协调入口）

本轮交接入口：import-parser-fix-20260917/review-candidate-r2，19文件增量及关键回执与旧G8/K0/历史验收包分开保留；包外完整性回执与主会话检查不抵扣独立PENDING。三个相关task上下文及本地治理检查通过，官方current回读仍为本09-08协调task；原任务状态不改成全完成。39条后续重验、独立复核和外部事实缺口仍按下述规划推进。

B34账号导入已完成本地修复，09-05的922项定向回归与前端typecheck/build通过。09-06随后完成58历史观测逐项分类、R12安全合同及移动/公告/AP在用测试漂移修复：10项移动浏览器+5项公告/AP/附件浏览器+7项纯源码/函数回归分别通过，未改UI/权限规则，也不相加为一次全量门禁。

58条中15条对应当前用例已获本地重验、4条旧日常OA请假/冻结差旅按用户取舍排除、39条保留项尚未整例重验。原历史54失败/4超时不回写、不直接扣数；剩39是观测，不是39个产品缺陷。下一按09-06 design完成合成账号强制改密生命周期与登录前置、10条页面/fixture及合同/AP整例、WebKit和PWA环境合同。不得通过关闭强制改密、放宽权限、批量skip或恢复旧布局求绿。

新材料分为import-parser-fix-20260917与release-gate-triage-20260917；旧审计/G8/K0包保留，新产品增量需与G8原候选一起独立复核，不能再称当前运行时代码与G8逐字相同。独立仍PENDING。W3恢复、W4事件、W7自然业务、W8未满足验收、原人工复审节点及不提交部署/借款边界保持。考勤日常在企微，D15非阻塞技术记录不扩修。

2026-09-17 接续实施：B34 已完成本地修复

09-05已修损坏账号导入的解析错误与日志边界：固定400原因、未知解析故障安全500，两入口14个坏格式场景无业务访问/原异常日志。最终2文件922项（68导入+854原因断言）及前端typecheck/build、strict/self-test通过；不是922个真实业务场景，独立仍PENDING、未部署。新材料 import-parser-fix-20260917，旧冻结包保持。下方“B34尚未实施”不再代表当前状态。

下一连续推进09-06的58条历史观测分类：保留当前产品合同、排除明确旧/待精简路径、辨别前置环境/登录失败与真实断言漂移，再按限定方案修仍有意义的用例；不把旧观测直接当58个产品缺陷，也不启用R1/恢复旧考勤或开展借款。恢复/事件/自然业务、独立复核与提交部署仍各守原边界。

2026-09-17 用户考勤澄清后的余项更正（当前入口）

考勤日常操作在企业微信完成，OA 保留摘要、解释、同步状态和审计；依据用户本次澄清、docs/产品设计规则.md 与现有 AttendancePage 文案。此前 D15 是 OA 汇总查询对极低年份的技术观测，不是企微考勤故障；不能据此安排恢复旧 OA 打卡或开发新的考勤规则。

D15 从本轮必修/待用户决策清单移出，保留为非阻塞技术记录；原年份限制建议未获采纳，不称已修复，不把仍保留的企微同步/摘要代码整体当作废弃。下方旧表的“统一考勤待年份规则决策”以本节及 09-05 最新合同为准。下一本地修复优先项仍为 B34 损坏账号导入；独立复核、完整发布门禁、恢复/事件证据及自然业务验收等原缺口不受此澄清抵扣。此次仅追加四份任务说明，旧记录和冻结包保持，不修改产品源码。

2026-09-17 本轮对账与范围确认回执（当前入口）

W8已从“只有索引”推进为22任务/231原条件逐项证据处置：154有历史支持、56部分证据、11外部事实待补、4被后续合同替代、4原范围冻结、2条件未证明触发。这里没有231个新测试、没有整体完成率；原106勾选和所有未满足条件保持。82个原显式引用均可在已限定本地副本定位，旧行号只作hint；本轮按当前正文重新定位，不能把文件存在当内容验收。每项的具体支持、限制、下一步及相对路径/文档SHA见acceptance-boundaries-20260917/historical-acceptance-review.json与同名md。

新接回事实与避免重复工作

• 09-07 AP、09-09 seed分离、09-06追加迁移预检已随b87cc55发布；接回主checkout原task记载与安全postcheck摘要，未复制整文件覆盖或读原始生产日志。三原task顶部/notes仅补本时点对账，旧记录保留。
• 普通完整发布门禁仍有实质缺口：R1/阶段1及阶段B保持原冻结，历史有效环境诊断199通过/54失败/4超时/18跳过、58条观测不是全绿。该项归09-06，不被G8的17ERP余额代表；下一先分在用/被替代/待精简用例，不盲修旧分支或继承例外发布授权。
• assets强制事前批准、旧发票灰度/自动建明细规则、PC主列历史布局等已被后续确认替代的4项，不再按旧PRD重新开发；保留历史对照，不勾成原要求通过。

三类边界的最终处置

余项	本次证据与结论	下一步
B34损坏账号导入	9个合成路由探针中，两入口×3损坏格式共6例500，CSV两例日志收到合成单元格标记；接口未回显、DB调用全0	仍在用的账号导入需修，固定安全解析错误/日志方案已落09-05 design；本轮是确认，不称已修复
D15低年份	两个真实helper的6组年月证实0000/0001/0099偏移；旧考勤服务已有年份守卫	工资待精简/未用helper/硬关闭旧考勤不补；统一考勤保留入口低优先级，接受年份策略单列待确认，不改存量数据
D16 AP反向ledger区间	现有列表/导出2文件73/73通过，共享where维持上下界和deleted过滤	保持原200与查询语义，不列必须修复项；实际PG未在本轮执行，非法日历及pending反向原400保持

复核交接及本轮边界

K0原6payload与G8最终368payload两主题的manifest/SHA/精确集合均核；运行时输入保持。本轮任务文档更新单列差异，不覆盖旧冻结包、不重新生成累计产品包。独立内容review仍PENDING，独立重跑NOT_RUN，主会话不派子代理或冒称独立通过。现有inline限制使本轮只能完成交接，非再次索取同一操作授权。

仅本地文档、源码读取和合成探针；未改server/client运行时、未读取真实配置/密钥/备份或连接生产/ARM，未重跑旧恢复，未提交/推送/部署/归档/实施借款。最终5个受影响task validate、Trellis/process/docs/敏感/diff及逐项锚点/探针语法检查通过，docs保留既有22未登记文档告警；5495份旧材料集合/SHA、HEAD/index保持，162份旧差异155逐字不变/7仅追加，14份增量全部为任务文档/notes；原9/25、9/30、10/2、10/5人工节点未提前执行，无定时任务。

2026-09-17 历史验收实质对账与三类边界确认（本轮已批准）

用户已批准按上一轮建议实施。本轮复用09-08协调W8历史证据及W1独立交接，09-05拥有W6三类技术边界决策；先方案后检查，不把“确认范围”解释为更改业务年份/AP规则或借款实施。官方current已用task.py切回09-08并回读，状态in_progress；原G8及更早材料5495份、162份旧差异与HEAD/index建立保护基线，新证据单独保存acceptance-boundaries-20260917。

• A1：以既有22任务/231条件索引为起点，逐条件核原PRD、现存实施回执及可用本地脱敏证据；当前PRD变化另记增量，不覆盖原索引。每项写明支持、局限、可复核锚点、剩余和最小下一步；源码包含/文档记载/本地验证/独立/发布/真实业务分别判断，不凭复选框或Git祖先关系宣称全验收。
• A2：检查旧证据的失效引用与不同副本路径，只接回已存在的本地安全报告/源码/测试。找不到时明确缺哪份，不读取真实配置/原件/备份或原始生产日志，不补造过去的运行/人工确认时间。
• B1：低年份Date.UTC：确认调用链、当前在用/冻结模块及可观察偏移。仅合成探针；提出保留/限制年份的兼容决策，待精简模块按用户取舍排除，不改变历史数据。
• B2：AP反向区间：核列表、导出、页面与已有回归，区分合法但无匹配的范围与日期本身非法；记录是否存在写入/越权影响及最小处理选项。未批准新业务规则前保持原200/空结果语义。
• B3：损坏CSV/XLSX：用内存合成数据核实际解析库、路由错误封装和副作用边界；对仍在用的入口固定安全错误合同方案，解析错误与IO/内部故障不混为一类。先确认，不改产品源码或放宽输入限制。
• C1：只读核K0与G8最终候选manifest/输入身份，整理2主题独立复核交接及发现问题的处理门禁；inline主会话不得充当独立结论，不重复打产品累积包。
• C2：更新现有PRD/design/implement及必要notes，完成22任务结构/引用/数量一致性、限定合成探针、task validate、Trellis/process/docs/敏感/diff与保留对账。文档为主，不重跑无关全量产品、前端构建或旧恢复。

完成判据为本轮对账与范围确认可供复核，不能等同22任务全结案。旧17处ERP明确排除、原22文档/Browserslist告警不扩治；未来人工复审日期不提前执行或自动延期；W2提交/推送/部署、W3真实保管/恢复、W4远端观察、W7自然业务及W9借款保持原边界。无生产/ARM、真实密钥配置备份访问，不重跑旧恢复，不提交推送归档。

2026-09-17 在用错误合同收敛与旧代码排除（最新协调入口）

按用户连续处理及“旧/待精简代码不必解决”的最新取舍，09-05 G8完成57处保留路径，46新原因；strict 831注册/822迁移/17遗留、17指纹/1源文件，findings空。余17均为ERP专用旧分支，产品规则明确当前/未来不接ERP，按要求保留而不修；逐字构造体及精确基线清单已核。G1–G7扫描范围无旧命中，G8需修余额0/明确排除17，不称全系统无错。以520入口计已处理503、跳过17；546分组总入口则处理529，数字不可混用。

本轮G6、G7、G8候选均另包保护；G6 1014、G7 1078分别对应自身最终输入，不相加称一次验收。G8最终19文件1093/1093，typecheck/Vite/PWA通过；24 JS语法、治理/task/敏感/diff通过；4884旧材料与HEAD/index保持，31增量另包，独立PENDING。详情以09-05 implement及error-debt-g8-20260917为准。auth只有合成JWT/员工；企微和AI只mock；队列retry只重置pending，不发真实消息。旧22文档/Browserslist告警不扩治。

W5本轮限定“保留在用路径错误合同”实施收敛，原人工复审节点仍未执行、17条原到期信息保留，用户排除取舍不是自动延期。W1独立PENDING；W2未提交推送部署；W3恢复/W4事件/W7真实自然业务/W8历史验收/W9借款及日期低年份/AP区间/损坏解析各自边界仍开放，不把本轮进展说成只剩部署。

2026-09-17 G7与用户取舍更新（最新协调增量）

09-05完成G7查询/考勤/在岗/周报/审计/搜索/导出错误合同，49新原因、42旧命中退出，strict 785注册/778迁移/74遗留、73指纹/16源文件；15文件1078/1078本地合成回归。AuditLogsPage沿原错误区接安全resolver；legacy网页考勤仍硬关闭。详细可达性、初轮夹具修正、构建治理与新候选归09-05及error-debt-g7-20260917。

用户新指示：旧代码或待精简代码不必解决。改为在用路径优先，明确弃用/计划移除的命中记录依据后跳过，不为清零追加工作，也不擅自删除代码或延期基线。已完成改动保留；G8先分类，产品规则和路线图明确ERP当前与未来均不接入，因此ERP旧分支退出本轮修复范围。通用outbox仍处理通知，不能整文件当ERP删除。其他W线、旧冻结包/差异、独立PENDING及本地/真实数据/外联/提交部署/借款边界不变。

2026-09-17 G6本地接续回执（最新协调增量）

09-05完成共享审批、流程定义、审批规则和两组委托API错误合同：43新原因、49旧命中退出，strict为736注册/745静态迁移/116遗留、114指纹/24源文件，主链例外0。16文件1014/1014本地合成回归通过，阶段计数不累加。流程定义页面复用resolver显示安全错误。

B28a单列修复普通用户委托查询的OR覆盖缺陷：既有本人范围与有效期改用AND，原管理员权限不改；4个范围红例后修复、34委托用例通过，内存where matcher非真实PG或JWT。不可达后置防御只静态覆盖。四源结构核对除该明确例外外保持业务结构；独立PENDING。新材料error-debt-g6-20260917，旧冻结材料保持，最终类型/构建/治理及保护结果见09-05本轮回执。

接下来连续处理G7查询考勤周报42、G8系统集成74，先按具体分支补合同，不因分组完成停工。其他W线与真实配置密钥/备份/生产/ARM/提交推送部署归档/借款边界不变，不把扫描清零等同全系统验收。

2026-09-17 G5采购资产合同连续处理（最新协调增量）

09-05连续完成合同/采购预算、资产、流转盘点、采购申请附件七源错误合同：131新原因，120旧命中精确收敛，余额165命中/163指纹/28源文件（693注册/699迁移，主链例外0）。各原状态/权限/冻结、附件安全及副作用顺序保持。最终19文件1095/1095、前端typecheck/Vite/PWA、15 JS语法、strict与治理通过，原告警保留；新候选与回执见09-05 implement和error-debt-g5-20260917，阶段数不累加。

G1–G5本扫描器收敛，G6审批委托49/G7查询考勤周报42/G8系统集成74继续。3365份旧材料含G4冻结包保护；新候选独立PENDING。真实业务/恢复/人工节点/日期剩余边界和W2不提交发布、W9不实施借款保持，不能把扫描收敛说成全系统验收。

2026-09-17 G4差旅连续处理（最新协调增量）

09-05完成差旅申请、订单/授权/交易、共享预算与对账54原因及62旧命中收敛，余额285命中/277指纹/35源文件（562注册/599静态迁移，主链例外0）。修复关联项目未定义parseUuid导致500，3个红例后成功回归；原权限/业务规则保持。最终13文件764/764含584固定文案断言，各阶段数不累加。证据error-debt-g4-20260917。

共享预算原先尝试ledger、对账默认409、申请风险helper先行调用都如实保留，不冒称零写入/真实回滚。G1–G4扫描器范围收敛，G5–G8仍285。2915旧材料与G3冻结包保护，独立PENDING；W2/W3/W4/W7/W8/W9和原真实配置/数据/远端/提交部署边界不变。

2026-09-17 G3基础资料连续处理（最新协调增量）

09-05沿授权连续完成主数据/供应商、日历、费用标准/类型、假别/模板及项目错误合同。新增103原因、精确删除86命中/86指纹；strict为508注册/544迁移/347遗留（339指纹、42源文件），主链例外0、findings空。八源业务结构对照保持，项目收口项先行初始化清单例外已明确，不虚报全失败零写入。各阶段本地合成结果以09-05 implement和error-debt-g3-20260917为准。

最终8文件811/811、前端类型检查/Vite/PWA及语法/task/治理通过，原告警保留；本轮21文件增量与新候选已留证，独立PENDING。G1–G3本扫描器已收敛；G4–G8仍347，不等于运行故障数。原2482份保护材料与B11–B14冻结包只读；独立PENDING。W2提交发布、W3恢复、W4事件、W7自然业务、W8历史验收、W9借款及低年份/AP区间等边界不变。

2026-09-17 B11–B14连续处理（最新协调增量）

按用户继续授权，09-05连续完成预算共享/控制规则与员工账号/部门/档案/附件操作原因。新增88原因，87次遗留命中收敛，剩433命中/425指纹（405注册/477静态迁移、主链例外0）；G1/G2分组无本扫描器遗留，G3–G8继续开放。product-final为22文件775项本地通过，附件增强断言另按attachments-final；各阶段数不累加，详细回执以09-05 implement和error-debt-b11-g2-20260917为准。

最终前端typecheck/Vite/PWA、语法/task/治理通过，原告警保留；2091旧材料与HEAD/index保持，本轮22文件增量，冻结候选与主会话检查另存。六源原权限/状态/查询写入/事务结构保持；新增上传精确尺寸异常映射仍为生产原400，下载阻断安全message/必要审计保留。仅合成DB/文件/随机源和mock fetch，未触及真实配置、人员、附件、备份或远端。保护旧包/差异，新候选独立PENDING。W2提交发布、W3恢复、W4事件、W7自然业务、W8历史验收、W9借款边界不变；不能把G1/G2扫描收敛视作全部工作完成。

2026-09-17 546处债务分组与B10（最新协调增量）

针对用户“这500多处遗留错误怎么解决”，09-05已把546次AST命中/526指纹/58源文件逐文件互斥归为8组、约28个实施切片，并规定逐操作合同、三方文案、负例/无副作用、页面消费、精确减基线和到期门禁。数字是错误合同债务，不能等同独立功能故障；未来复审/期限不变，同类本地实施继续自主进行。

本轮先完成预算/绩效两路由B10，25个原因替代26次遗留命中，余额520次/501指纹/56源文件；317注册、398静态迁移、主链例外0、findings空。预算/绩效状态、权限、事务和冻结规则保持，3个页面已有resolver；预算共享服务/控制规则余13处列为下一切片。product-final 7文件414/414，strict/self-test20场景及语法通过，属于本地合成验证；P2002只是异常桩，未实证真实PG。全部细节及其余分组以09-05 implement顶部与error-debt-b10-20260917为准。

最终客户端typecheck/Vite/PWA、task/治理/敏感/diff通过；原22文档与Browserslist告警保留。旧1730份材料与旧脏改动保留，本轮新候选独立PENDING；W2仍不提交/推送/部署，W3恢复/W4事件/W7真实自然业务/W8历史验收/W9借款未因本轮迁移被结案。W6低年份、AP反向区间与损坏导入解析异常保持各自边界。

2026-09-17 连续执行B6–B9与D13/D14（最新协调增量）

按用户明确“后续连续做完”的要求，本轮在09-05主任务内连续处理导入文件、公告时间/操作提示、工资/考勤月份提示及工资维护校验，没有逐批请求继续确认。新增36原因，原业务权限/状态/金额规则不变；公告页面接回安全错误映射。D13现有月份守卫补证完成，低年份Date.UTC偏移单独开放；D14非法日历/不可解析时间已阻断，原时区/null/省略/24:00兼容保持。

最终product-serial-final为12文件575/575；初轮2项密码哈希超时在无构建竞争的串行复验通过，原日志保留、没有调宽阈值或削弱断言。错误债务由582降至546次命中，指纹561降至526；292注册/375静态迁移，主链例外0。新增36原因与删35指纹并非一一相等，不能按数量代替具体分支验收。owner/2026-10-05保持。最终客户端typecheck/build与14个JS语法、task/治理/敏感/diff通过，原docs/Browserslist告警保留。候选与证据另存import-time-contracts-20260917，原1352份材料保留，HEAD/index不变，独立PENDING。

W5同类本地治理继续自主推进，下一操作组先从预算/绩效、员工档案确定限定合同；不以单批结束作为人为停点。W6剩低年份/月格式兼容决策、AP反向区间，不能称全仓时间治理完成。W1独立仍PENDING，W2不提交/推送/部署，W3恢复/W4事件/W7自然业务保持原缺口，W8原22task/231条件索引未变成全量验收，W9借款产品未实施。细节和最终门禁以09-05本轮implement与新证据为准，下方记录保留原时点。

2026-09-17 D12/B5接续回执（最新协调增量）

本轮current保持09-05，按连续实施授权完成HR多格式入职日期D12及共享只读筛选B5。D12非法日期整条跳过，缺失仍默认本次now，提前阻断部门/账号/角色/绑定/主管操作，保留同步审计；员工/合同含导出外层、在岗历史共7安全原因保持旧status/details与业务范围。

验证分为D12 2文件44/44、B5 9文件425/425、共享导出回归3文件72/72；客户端typecheck/build通过，未称全仓/独立/PG/JWT/公网验收。证据另存hr-date-read-errors-20260917，原local-roadmap及更早包保持。当前错误债务更新为582次AST命中、561指纹（本轮仅减7），注册256/静态迁移343，主链例外0；原owner/2026-10-05不变。D1–D12已限定的本地日期工作补齐，不等于全仓时间输入审阅结束。

协调线	本轮变化 / 剩余
W1/W2	新产品候选待独立复核；仍不提交/推送/部署。K0主题与产品主题分开，不累加多个包为重复审查任务
W5	余582命中/561指纹；下一B6限定账号导入文件7分支，先核multipart错误优先级，再同批原因/三方/负例。人工复审日期不被今日扫描抵扣
W6	D12完成；D13月份消费者与D14公告datetime的兼容审阅、AP反向区间规则单列，详见09-05最新限定准备表；不改历史数据
W3/W4/W7	恢复四出口、事件6项缺口和2条自然业务验收链仍开放；无新真实配置/密钥/备份/生产样本，不执行旧恢复或制造业务
W8/W9	22历史task/231条件索引仍只是定位，未整体结案；借款技术规划保留，T2–T4产品未实施

后续同类本地治理沿已授权范围继续；新业务时间规则先固定合同，受保护操作和独立结论继续按原门禁。完整本轮实现、验证命令、保留对账及候选以09-05 implement顶部及该证据目录为准；以下旧表保留当时口径。

本轮最终收尾：4个受影响task上下文校验、19个增量JS语法、原因码strict、Trellis/process/docs/敏感和diff通过；docs仍为既有22未登记文档告警。537份旧证据/冻结材料精确集合与SHA保持，59份旧脏文件中44份逐字不变、15份按本轮范围继续增量，HEAD及真实index保持。本轮33文件增量已单独保存，主会话只读检查不计独立复核。当前累积产品审阅候选位于local-roadmap-execution-20260917/review-candidate；原K0/两个产品候选保持，独立结论PENDING。520和61分别绑定其命令输入，未声称整仓、真实PG、生产认证或公网验证。

2026-09-17 后期规划连续执行回执（最新协调入口）

用户批准按后期规划尽量连续完成；本轮在指定执行树沿09-05先做本地治理，再补W4/W8/W9文档准备。以下是新增事实，下方“仅规划/未实施”保留原时点；没有提交/推送/部署/归档、生产/ARM/真实配置密钥备份读取、旧恢复重跑或借款产品开发。独立复核仍PENDING。

工作线	本轮进展	仍需完成
W1/W2	保留旧候选，准备当前日期/提示累积输入新候选；本地验证通过	K0和产品2主题真实独立审查、明确授权后的提交/推送/部署及公网验收；不由520项主会话测试抵扣
W3	K0/冻结恢复包保持，K1问题不重复索要；无新秘密事实	K1、K2、附件AC4、完整计时AC5四出口；仍PARTIAL/缺件1/来源UNKNOWN/解密NOT_TESTED
W4	原事件implement新增AC1–AC8逐项缺口、容量公式、两自然周期合并观察与停止条件	AC1/2/4/5/6/7六项补证或裁决；AC3/8有据不重复等待；远端观察未执行
W5	B3/B4增加9个原因码，移除实际消失的9条指纹；注册249、迁移336、遗留589、finding0	剩568条豁免/589次命中；按可达操作继续分组，原2026-10-05期限不变，人工复审节点未抵扣
W6	D5用户直接写入/CSV/XLSX、D6员工资料/生命周期/档案、D7 AP列表完成；D8盘点完成并补D9仪表板直接读，继续完成D10薪资/预算/绩效及D11启用考勤/修正/请假日期	D12 HR同步待实施（需区分缺失默认与非法输入）；其他datetime/月份另审。AP反向区间保持原规则，未来改400需单列方案
W7	保留自然事件条件，本轮未访问真实业务	付款/回单与退回通知2条链，缺样本不制造业务
W8	22历史task的231项PRD复选条件建立逐条文档定位/候选证据引用索引，见下表及JSON	逐项实质证据比对、原副本引用接回及结案判断仍未完成；不把106个历史勾选当新验收
W9	借款T1a表/字段/FK/唯一/金额/历史保留、锁图/并发/权限及接口草案落到原design	T1b数据库原型、T1c独立审阅；T2/T3/T4尚未开始，相关恢复风险及实施准入保持，原8AC未验收

日期D5发现并修复CSV解析库的本地时区转UTC提前一天问题：CSV原始文本进入原统一校验，XLSX原生日期处理不改；保留创建/导入缺省日期、nullable/optional、原导入整批失败及预览审计。D6非法输入在员工/角色/部门/checklist/审计/企业微信业务副作用前拒绝；没有修改权限模型/生命周期推进/付款状态机。D7和D9与对应导出输入合同一致，原区间状态码保留。

验证：product-final命令17文件520/520，后续d10-d11-final命令9文件61/61；客户端typecheck/build退出0；14文件215是前一阶段输入，不与520累加。合成Fastify注入和mock DB不等于真实PG事务/JWT/浏览器/公网验证。新回执在artifacts/qa-layout/local-roadmap-execution-20260917；首次CSV实际缺陷和两次测试夹具/预期纠正日志保留。前端保留既有Browserslist告警，没有升级依赖。

W8逐项映射索引与结案顺序

historical-acceptance-map.json逐条保存PRD原文/所在节/行号、原勾选状态、原implement入口和显式证据引用的存在性。22项共231个复选条件（含补充条件），106项原文已勾、125项未勾；这些计数都不能换算未完成功能或完成比例。只核当前文档，不读取真实附件、配置或备份。显式路径支持行号及范围，均存在；未自动捕获的裸路径/其他副本仍待接回，绝不把空引用数组解释为无证据。

原task	PRD条件数/原已勾	后续结案处理
08-23-isolated-backup-restore-drill	10/6	K0本地/原一次恢复已分层；K1/K2/AC4/AC5继续开放
08-28-production-arm-backup-transfer-incident	8/0	按本轮W4六项缺口补证/裁决
08-28-reimbursement-detail-material-preview-fixes	9/9	按原implement逐条件接回源码/测试/独立/发布证据；暂不改元数据
08-28-reimbursement-detail-material-preview-deploy	9/1	按原implement逐条件接回源码/测试/独立/发布证据；暂不改元数据
08-28-reimbursement-nonparticipant-readonly-projection	9/0	按原implement逐条件接回源码/测试/独立/发布证据；暂不改元数据
08-29-reimbursement-expense-policy-invoice-guard	12/10	按原implement逐条件接回源码/测试/独立/发布证据；暂不改元数据
08-30-reimbursement-expense-policy-invoice-guard-deploy	12/0	按原implement逐条件接回源码/测试/独立/发布证据；暂不改元数据
08-30-reimbursement-assets-prior-approval-correction	9/8	按原implement逐条件接回源码/测试/独立/发布证据；暂不改元数据
09-01-reimbursement-one-page-approval-workbench	12/0	按原implement逐条件接回源码/测试/独立/发布证据；暂不改元数据
09-01-reimbursement-approval-content-workbench	11/0	按原implement逐条件接回源码/测试/独立/发布证据；暂不改元数据
09-01-reimbursement-form-shared-component-migration	15/0	按原implement逐条件接回源码/测试/独立/发布证据；暂不改元数据
09-02-reimbursement-readonly-content-consistency	11/10	按原implement逐条件接回源码/测试/独立/发布证据；暂不改元数据
09-04-approval-return-notification-gap	11/8	保留本地/既有发布事实；自然消费链及独立边界单核
09-04-reimbursement-state-gap-finance-view	11/0	按原implement逐条件接回源码/测试/独立/发布证据；暂不改元数据
09-05-error-explainability-payment-readiness	12/12	历史勾选仅对应原批；本轮520与剩589分开审阅
09-05-existing-deploy-db-lifecycle-isolation	8/8	按原implement逐条件接回源码/测试/独立/发布证据；暂不改元数据
09-05-trellis-upgrade-rule-cleanup	18/18	按原implement逐条件接回源码/测试/独立/发布证据；暂不改元数据
09-06-release-gate-integrity	16/3	按原implement逐条件接回源码/测试/独立/发布证据；暂不改元数据
09-07-manager-ap-access-scope	7/0	按原implement逐条件接回源码/测试/独立/发布证据；暂不改元数据
09-08-reimbursement-payment-closeout	7/0	实际付款/退回闭环与协调交付分开验收
09-09-existing-deploy-seed-separation	6/6	按原implement逐条件接回源码/测试/独立/发布证据；暂不改元数据
09-11-reimbursement-payment-handoffs	8/7	保留本地/既有发布事实；自然消费链及独立边界单核

本轮完成的是可检索映射索引和优先队列，非22项实质验收/归档。优先本轮再次触及的09-05、09-07（AP权限保持的本地回归）、09-08及08-23/08-28；其余在相关代码再次修改或拟结案时接回原副本，不自动重跑所有浏览器/生产验证。借款为第23个task，不在22项历史分母中。

后续执行授权保留：日期与原因码同范围可继续小批，不需反复确认同一授权；新业务规则、AP反向区间、具体生产/恢复/发布动作和借款产品准入按相应门禁处理。旧attendance_v1仍固定关闭，相关历史路由拒绝是409而非400；未解冻OA打卡。原9条协调线并未全部结束，不能宣称“剩余只有部署”。

2026-09-17 后期工作总表与剩余量（最新协调入口，仅整理规划）

用户要求详细梳理后期工作及剩余量。本轮复用本task作为协调合同，官方current由09-05切回本task并回读；不是新产品、远端或发布实施授权。数据来自已落盘本地回执与源码，不重新访问生产/ARM；下方历史“当前/下一步”保留各自时点，以本节为最新入口。

已经完成到哪里

阶段	已完成事实	仍保留的边界
既有报销/回单/门户及早期日期错误修订	已有b1d25d3c及相关发布/隔离验证记录；原526项独立及公网只读记录可追溯	本轮没有新公网观察；已发布不代表自然付款/通知业务全部验收
K0本地恢复合同	30项合成测试、166键环境合同通过；候选已保存	独立复核待接回，原密钥保管和真实解密没有被证明
B1/B2本地批次	8处日期源文件边界及11个通知/待办/门户原因；14文件450项与前端typecheck/build通过	新批次未发布；450为该轮输入的合并回归，非450项新增
D1–D4本地批次	待办、员工目录筛选、节假日、相关导出4源文件；11文件192项与语法/治理通过	只修所列外部日期；192与450含重叠，不相加成全量独立覆盖
受限恢复及资料保护	既有一次DB/影子只读应用恢复与清理已结束；两自然日期异机完整性有据；旧包和后续证据保留	整体PARTIAL、历史缺件1、密钥来源UNKNOWN、真实解密NOT_TESTED，旧入口不复用

剩余量的口径

按独立交付/验收出口归为9条工作线：8条既有收口/治理 + 1条借款新功能。这是协调分组，不是9个等量开发任务，也不是剩余9个bug。各线内部数量按事实列明，避免把交叉引用和同一缺口重复累加。无全量验收分母，暂不报总体完成百分比或保证结束日期。

编号/优先级	工作线与归属	还要完成什么、退出条件	当前剩余量/依赖
W1 / P0	当前候选独立复核；08-23、09-05	K0与当前产品变更两类审查；核候选摘要、内容/安全边界、实际重跑及finding；修订后重冻并取得明确结论	2个审查主题、3份已备候选；当前独立结论均PENDING，不能由主会话自检抵扣
W2 / P1，W1之后	已实现批次正式交付；09-05/09-08	按QA/产品/文档范围拆分可审提交，绑定最终输入；明确授权后提交/推送，需发布的产品另做执行时预检、部署与公网只读验收	1条交付流程，可按批拆交；当前阶段均未提交/发布，不要求先清空全部历史债务
W3 / P0	密钥与完整恢复能力；08-23	K1核双角色仓库外受控可用性；K2绑定新源/制品/字段/秘密注入/资源并经审查授权验证；历史缺件找回或另审最终处置；补完整计时/同源滞后证据	4个开放出口：K1、K2、原AC4、原AC5；K1事实未到、K2未绑定，实际操作另批；原历史来源可继续UNKNOWN，不追索秘密历史
W4 / P1	异机传输事件正式结案；08-28	对根因分类/未测理由、修复与容量方案、监控、自然周期partial/容量趋势、告警响应逐项补证或裁决	1个事件，AC1/2/4/5/6/7仍有缺口；AC3两日期副本完整及AC8本地治理有据，不再因这些重复等待；自然恢复不冒充已修复
W5 / P1，有期限	错误可解释性剩余债务；09-05	按已启用用户操作逐组迁移原因码/安全提示/精确负例，保留守卫与旧details；只删除消失指纹	577条豁免指纹、598次AST命中、58个扫描分组；owner全为shunli、expiresOn全为2026-10-05；到期前迁移或逐项另审有依据的豁免，不统一延期
W6 / P1	其余日期与区间规则；09-05	新发现直接写入/导入及AP查询入口先定限定方案，再验证无效日期无写入/查询；区间规则先核旧合同	3组已定位入口 + 1轮余项盘点，共4个计划批次D5–D8；详见该task新顶部，目前未实施，非全库余项总数已知
W7 / 按自然事件触发	真实付款/回单与退回通知；09-08、09-04通知、09-11交接	付款链核真实银行接受性、独立复核资格、自然回单消费与实际登记；退回链核原待改单重提/阻断、站内事项与真实投递/深链/处理后消失	2条业务验收链；无自然样本继续等待，实际渠道是否需调整须先核；不得为验收制造付款、重传旧件或发送测试通知
W8 / 按结案或相关变更触发	原task验收映射与元数据治理；09-08协调	将原PRD逐项关联代码/发布/独立/业务证据，核失效引用、过期摘要；真正满足后再获批归档	22项历史task索引待逐项结案判断；当前23个task合同含借款，不能换算为23个未实现功能；不把全22项映射作为新规划的硬前置
W9 / 新功能，规划先行	公司借款本金台账与归还；09-17借款task	T1模型/约束/锁序定稿；T2出借人/借入登记与余额确认；T3还款额度/批次/回单/核销及界面；T4真实本地合成全链、并发/权限/旧业务回归与独立审查	4个阶段、原8项AC均未验收；只有规划和消费者地图，产品实现未开始，另需实施批准与相关恢复风险处置

责任分工：shunli为协调及各原task负责人；执行端负责本地实现/自动验证/脱敏证据；独立审查由真实独立方承担；K1由系统管理员和公司责任人在受控渠道内核可用性；真实付款/通知按正常业务责任与授权进行，不转嫁软件回归给员工。

当前独立复核输入（冻结包只读）

• K0：followup-governance-20260917/k0-review-candidate，只覆盖本地合同/合成验证。
• B1/B2：followup-governance-20260917/review-candidate，manifest前缀3a22adfb；保留上轮完整输入与回执。
• D1–D4：calendar-followup-d1-d4-20260917/review-candidate，manifest前缀7b1c61d0；绑定前包，当前todos/exports须以此包版本覆盖前包，同源相关回归以192项实际输入为准。

以上相对目录均位于artifacts/qa-layout。W1按两个主题审查，不强迫同一产品重复做两次互相矛盾的“全量通过”。K0允许独立交审；产品审阅须联读两个版本的增量，不能拿旧450项证明新输入已经独立通过。包完整性、本地测试、独立审查、独立重跑和发布是不同结论。

错误债务规模与优先次序

数量引用D1–D4的error-contract.log及当前baseline只读统计；本轮不重跑产品测试/AST，不把静态调用量解释为用户遇到故障次数。

扫描分组	剩余命中
purchaseRequests	52
users	40
employees	31
assets	29
masterData	25
integrations	22
travelRequests	21
attendance	19
payroll	18
travelReconciliation	18
其余48分组	323
合计58分组	598

数量靠前不自动成为第一修复批。先核当前已启用、用户真实可达的操作，再按风险/频度定一组完整原因合同；员工/日期相关路径可先形成审阅批。workflow工具15项、workflowDefinitions配置11项涉及不同边界，需分别审阅，不能混入文案替换。B1/B2已经消除14次历史命中，D1–D4纯日期修复没有继续减少此计数。

推荐执行顺序与可并行事项

1. 先交审当前成果，同时补K1非秘密事实。 W1可立即准备交接；K1只需角色/渠道类别/可用状态，不接收Secret、账号或位置。没有独立方时保留PENDING，不重复跑主会话测试凑结果。
2. 待审期间做本地计划准备。 W6的D5–D8及W5下一操作组先限定文件/语义/用例；本次仅规划，具体新批获批准后实施。W4先复用现有证据做最小缺口/容量观察方案，不连接远端。
3. 已实现代码按自身门禁交付。 W1 finding处理且候选固定后，W2在明确提交/推送/部署授权内推进；未经批准不操作。不把全部598遗留、22项历史映射或自然事件等待塞进当前小批发布范围。
4. K1事实具备后定K2具体操作。 新源/平台/秘密输入/字段上限/资源/清理各项绑定，独立只读方案审查、专项批准后才执行；可合并采集完整计时，不能重用旧入口或过期源。缺件处置与解密通过分开。
5. 业务与备份结案按证据触发。 W7随自然业务、有范围的只读核验推进；W4按缺项补限定观察。未发生的自然通知记未触发，不能补造人工确认时间或历史rsync时长。
6. 借款在方案批准后独立进入。 可以继续T1技术定稿的文档准备；实现另获批准。未知密钥/真实恢复风险须有明确处置，不能以旧历史缺件例外默认接受；不要求22项无关任务全部归档才做新规划。

已有时间节点与估量边界

时间	既有安排	当前状态
09-25	重扫错误债务、日期消费者及责任/优先级复审	待执行；先前450/192不抵扣该日期复审
09-30	仅对必要条目提出具体延期理由、owner、新验收与期限	待必要性判断，当前未延期
10-02	对迁移/豁免/测试/发布范围查漏	待执行
10-05	按原到期门禁判定，不统一续期	原日期保持

这是人工节点，未创建自动定时任务。按代码投入看：W1/W2主要是审查与交付收口（finding未知）；W6为中等规模分域修复；W5为现有工作中范围最大、需分批的长期治理；W9是完整新功能，投入显著大于一次日期批次。W3/W4/W7耗时取决于事实、具体授权与自然事件，不宜折算为连续编码天数。W8为按需证据治理。当前不能给可信的统一“还需几天/完成百分比”；每个批准小批完成后用实际通过/未验数量滚动更新。

本轮整理验收：不改产品源码、不修改原AC勾选、豁免到期或借款状态；只更新本task PRD/implement/notes与09-05后续批次规划，保存新对账证据并运行对应本地治理门禁。旧冻结包/证据、旧差异及HEAD/index保持；规划落盘不代表W1–W9已经执行。

本轮整理回执：两个task上下文、Trellis治理（23项合同/1242份扫描/14份登记证据摘要）、process baseline、CURRENT敏感扫描30份/finding0及diff检查通过；文档注册零错误、保留原22份未登记文档告警。仅4份计划/摘要文件变化，其他55份旧差异原字节保持，452份已有证据/冻结材料的集合与摘要保持，HEAD/index保持；原任务正文及状态/历史commit不改。证据归followup-roadmap-20260917，未新跑产品测试、未新实施D5–D8或借款，不把规划结果当任务全部完成。

2026-09-17 D1–D4继续推进回执（最新协调入口）

用户要求继续推进后，官方current保持09-05，按已落盘四批完成待办截止日、员工目录/导出入职日期筛选、节假日整批日期、仪表板与AP导出日历校验。产品增量4源文件，本地11文件192项测试和10文件语法通过，AST240注册/327迁移/598遗留仍零finding、期限未变。新回执与候选归calendar-followup-d1-d4-20260917，上一轮450项和旧候选保留为原输入结果；当前todos/exports已含两轮增量，独立复核须以新候选覆盖这两文件。

D1–D4从待审规划进入已批准本地执行，不将09-25等未来复审提前勾选。独立复核仍PENDING；K1实际保管、K2源/制品/秘密注入绑定、自然业务与原备份事件缺证据仍开放，借款planning且未实施。未连接生产/ARM、未读真实密钥/配置/备份、未重跑恢复、未提交/推送/部署/归档。下方旧“D1–D4未实施”为前轮时点事实，最新代码及治理回执以09-05顶部为准。

2026-09-17 后续本地推进回执（最新协调入口）

用户批准按既有梳理继续并补规划。官方current已切09-05-error-explainability-payment-readiness；本轮B1/B2本地实施完成：8个日期输入源文件、通知/待办/门户11个错误原因，最终14文件450项测试及客户端typecheck/build通过。AST从612降至598次遗留（577条entries），240注册/327已迁移、主链例外0；原到期日2026-10-05保持。独立只读复核和发布尚未完成，具体回执、剩余日期D1–D4及人工到期节点归09-05顶部。

08-23的K0主会话30项及166键合同保持原结果，本轮另备只读审阅候选；独立复核PENDING。K1补双角色受控可用性核验方案，事实陈述待接回、实际取用NOT_TESTED；K2补NOT_BOUND源/制品/字段/资源/清理清单，尚不可执行。没有真实访问、秘密读取或旧恢复重跑，PARTIAL/历史缺件1/密钥来源UNKNOWN/真实解密NOT_TESTED不变。

08-28按原AC1–AC8追加本地证据映射，明确“两自然日期异机完整性已证”与根因、容量预算、监控趋势、自然告警响应缺口；不改原验收勾选、不新增远端观察。自然回单/通知、历史缺件及完整恢复计时继续沿原task开放，不制造业务事件。

借款09-17-company-loan-principal-repayment继续planning，仅补消费者地图及T1数据/锁序→T2登记确认→T3付款来源与额度/回单闭环→T4合成全链/独立审查依赖；没有schema/migration/API/UI实施，不解冻travel_order付款。未处置的密钥恢复风险不能因新规划被接受。

旧差异和四恢复包86件及K0原证据41件均纳入本轮基线；此前96件记录原样保留，以K0现场manifest对账为准。最终治理、差异/摘要及候选回执归09-05顶部和followup-governance-20260917。本轮未提交、推送、部署或归档；下方各节保留当时状态，不能用旧“仅K0/本轮不进入B1/B2”覆盖本节新授权与实际结果。

2026-09-17 关键遗留优先与新任务规划（当前入口）

后续执行回填：用户已在指定工作树批准A1/K0，仅本地合同与合成验证；官方current已切08-23，30项定向测试及166键环境合同通过，K1空白保管清单已落盘。K1/K2仍未批准或执行，真实解密NOT_TESTED、来源UNKNOWN、原PARTIAL不变；最终回执归08-23顶部。四包按manifest现场合计86件且全部完整，上轮96件计数与现场不符，保留旧记录并单列差异。本轮不进入B1/B2或借款C。以下保留本节规划时刻事实。

本轮用户批准开始规划，非新增实施授权。上一节阶段收尾不撤销；不继续扩大报销任务范围。责任人仍为shunli，主会话直接实施/检查，真实外部只读审查另列；新会话不继承无限生产或密钥权限。

规划清单：

• 复用08-23和09-05合同，核源码及现有规约能回答的事实，不索要生产密钥。
• 分列本地准备、受保护操作、债务治理和新业务开发的进入/退出条件。
• 通过官方task工具新建独立09-17-company-loan-principal-repayment，使用--no-start保留当前任务，补PRD/design/implement。
• 对更新合同和新任务执行Trellis、流程、文档、差异及范围校验；本轮不运行产品测试或受控恢复。

顺序	原task / 工作	产出与退出条件	等待时可做什么
A1 第一实施段	08-23：K0本地原密钥恢复合同	现有环境分类、加密格式、禁泄露输入/输出、错误密钥/缺密钥合成反例及新验证方案通过；不读生产配置/密文	A1方案获批后可本地实施；不是实际密钥已保管或解密通过
A2 独立授权段	08-23：K1保管事实，之后K2受控恢复	原密钥可由既有管理员与公司责任人取得，批准范围内验证与选定备份密文匹配并完成清理；失配/不可用停止，缺件与其他未验指标继续单列	等待权限/保管安排/具体源绑定时推进B1/B2；不重用上次入口或要求用户在聊天给密钥
B1 第二实施段	09-05：高风险外部日期输入	合同、采购、差旅付款/对账先行，周报/在岗下一小批；输入溢出在写入前拒绝，兼容null/optional及原业务规则	不开放冻结模块、不修改历史日期；各小批独立验证，已发布四域不重做
B2 到期治理段	09-05：错误豁免	重盘点后逐操作迁移真正未覆盖的常用路径；09-25复审、09-30必要逐项延期提案、10-02查漏、10-05原门禁	日期是人工节点，不是已创建的自动任务；不能用旧612次计数代替当前扫描或统一延期
C 新需求	09-17-company-loan-principal-repayment	本轮仅规划；开发前复核A/B遗留结论、方案及资金规则；先借入本金台账和还款闭环，不做通用财务系统	规划不等于实施批准；原密钥不可用/恢复失败未经明确处置时，不直接扩充敏感付款数据或发布
按事件/结案触发	自然回单/通知、历史缺件与原task验收映射	沿下方阶段收尾表的责任与退出条件	不为等待自然事件制造业务，不为切换新任务强行归档旧task

执行选择：优先A1；A2受保护前提不具备时切B1/B2，不陷入反复恢复/追问。新任务C的规划与技术准备不要求22项旧task全绿；其业务开发/上线前仍需单独判断相关安全风险，不把“接受历史缺件”扩大为接受未知密钥恢复风险。A2实际源、环境与密钥注入方式尚未绑定，因此本轮没有可执行的远端命令或第二次恢复授权。

新会话接续

本对话可以继续，但历史较长，建议规划落盘后在同一执行工作树另开一个主会话做A1；不另开实现/检查子代理，不同时在多个会话写同一工作树。执行工作树为项目根下artifacts/isolated-worktrees/20260911-detail-layout。接续先读本节、08-23的PRD/design/implement顶部、deployment-trialrun的Environment Recovery Classification And Secret Custody及security-privacy；核官方current和Git差异，不用注入的09-04旧提示选任务。08-23新增A1方案获实施批准后，用官方task.py start切到08-23并回读current；未批准只读规划，不自动开始。

交接必须保留：已核产品基线b1d25d3c；上次受限恢复已结束/入口已消费；PARTIAL、历史缺件1、密钥来源UNKNOWN、解密NOT_TESTED不被新会话改为PASS；已有脏文档和冻结包原样保留。新会话先做本地合同/合成验证，不连接生产或ARM、不读生产.env/密钥/真实备份、不提交推送部署。B1实施时再切09-05，C仍为planning，不混入同一资金改动批次。

规划验证：四个task上下文校验、Trellis（23项合同、1241份敏感扫描）、process baseline及差异检查通过；文档注册0错误，仍有既有22份未登记文档的一项告警。新task四文件齐全、8项可观察验收均未勾选、无TBD；本轮只改9份既有任务文件并新建该task四文件，源码和四份冻结包96文件未变，HEAD/index未变，官方current仍09-08。未跑任何产品测试、环境合同执行或真实恢复；本地准备和新功能均待其方案实施批准，K1/K2另按具体受保护操作审阅。

2026-09-17 阶段收尾与后续归属（当前入口）

用户采纳“先整理旧任务完成项、遗留项和归属，再单独规划借款还本”的建议，要求收尾之前的工作。本轮只整理本任务及直接关联任务的状态摘要，不改变原验收标准，不重跑恢复、不改产品/生产、不提交/推送/归档，也不实施股东借款新功能。当前执行树的官方任务仍为09-08；09-04旧会话提示不作为重新实施入口。

本轮执行清单：

• 核对最新PRD/设计/实施记录、已保存发布与恢复回执及Git基线，区分历史文字与最新事实。
• 在本节形成完成项、开放项、原任务归属和重新进入条件；不把22项历史索引称为全量验收。
• 更新本任务PRD及09-04/09-05/09-08的过期task摘要；保留原status、completedAt、历史commit及未满足验收。
• 运行任务、文档、流程、敏感信息与差异检查，确认本轮只有列明文档/元数据改动，HEAD/index及原有非本轮差异未变。

本轮验证计划：对三个更新摘要的task执行task.py validate；运行node scripts/qa/check-trellis-governance.mjs、node scripts/qa/check-process-contract.mjs --baseline --json、node scripts/qa/audit-docs.mjs --check-registry、git diff --check。源码未改，不重跑产品单测/构建/浏览器，不新增独立复核或公网验收计数。

已完成阶段与证据边界

以下证据均位于既有artifacts/qa-layout/，本轮只读核对，不覆盖原件、不把历史执行记为今天新跑。

交付	已完成事实	证据与限制
报销状态、财务本人审批与付款交接修复	229867f5等修订已有发布及隔离验证记录，Git确认包含于b1d25d3c；不重复开发/部署	finance-owner-release/acceptance-result.json及09-04实施记录；代码包含不是原task所有体验/业务条件验收完成
回单核对、动态错误指引与日期合同	b7d2285d、3516d7ec及b1d25d3c增量已发布；日期合同已有独立内容审查、526项独立重跑及typecheck/build通过记录	calendar-contract-review-followup.md、calendar-contract-release/push-result.json、calendar-contract-release/acceptance-result.json；独立重跑复用依赖，非全仓/全新安装；发布验收为公网只读，不证明真实银行导入或生产认证业务全链
本次异机备份取证	09-14/09-15两个自然日期副本的异机摘要已核，09-16自然源又完成当前b1同源新鲜度/实际目录绑定	postrelease-recovery-20260916/arm-user-readback.json及08-28实施记录、postrelease-recovery-20260917/real-bound-restore-result.json；不据此补造历史传输耗时、根因修复或事件全部验收
一次受限ARM恢复	DB和影子认证只读应用PASS；62引用中1条已接受历史缺件、未知不一致0；清理及后验PASS；RPO7小时2分52秒	postrelease-recovery-20260917/real-bound-restore-acceptance.json与real-bound-restore-postcheck.json；整体PARTIAL，非完整附件/解密/完整RTO验收，入口已消费，不再执行
本轮阶段状态整理	直接关联的09-04/09-05/09-08摘要纠正，完成/开放项分开；其他历史task不批量改状态	本节及三个task.json；22项旧索引只证明记录和关联，未进行22项全量验收

保留的开放项与重新进入条件

协调责任人为shunli；以下归属均指已有.trellis/tasks/任务。本次登记不是新审批、定时任务、统一延期或已具备完整恢复能力的承诺。

开放项	归属	当前状态与影响	重新进入及退出条件
自然回单、实际登记、退回通知与交接	09-08-reimbursement-payment-closeout协调，通知/入口分别归09-04-approval-return-notification-gap、09-11-reimbursement-payment-handoffs	WAITING_NATURAL_EVENT；最近一次已存09-16观察窗口无新增回单/通知，本轮未再查生产；受控样本/隔离链通过不替代自然消费	自然事件出现且有相应只读授权时，执行端核队列→结果→登记及待办/投递链，核实际独立复核人资格；银行导入接受性另据真实回执确认，不制造付款、重传历史件或要求员工代做软件回归
完整附件、敏感解密/密钥保管及完整恢复指标	08-23-isolated-backup-restore-drill	本次受限操作完成；原AC4/AC5未全满足，1条历史缺件仍未找回，密钥来源UNKNOWN、解密NOT_TESTED	后续需另行明确缺件处置与受控密钥保管/恢复验证方案及批准；分项补证，不能用新随机密钥、删除引用、阶段耗时小计或重复旧入口实现“全绿”；不向用户索要聊天明文密钥
异机传输事件正式结案	08-28-production-arm-backup-transfer-incident	两自然日期异机完整性已证实，不再因该项重复等待；原事件的根因/修复和其他验收尚未全量对账	先核原PRD及现有证据是否足够；缺证据才补限定观察，出现新异常再按事件方案处理；不自动重传、改timer或清理partial
剩余日期消费者与错误豁免	09-05-error-explainability-payment-readiness	四域输入及动态提示批次已发布；其他消费者分类、上轮591条/612次遗留与229项注册记录不是全量修复	09-25复审，09-30必要单项延期提案，10-02查漏，10-05原到期门禁；按外部输入风险分批并重盘点，各批补负例/无副作用测试和对应审查，不统一延期，不改历史日期
历史task全量验收映射	09-08-reimbursement-payment-closeout协调，各原task拥有验收	postrelease-recovery-20260916/task-inventory.json包含22项索引，不代表22项都完成；部分引用仍待跨原副本/证据核对	当某原task拟结案或相关代码再次修改时，逐项对照PRD与原证据；未核项保持开放，不能按Git祖先或某轮治理PASS批量勾完
本地记录提交与任务归档	本task及各变更所属原task	仍有本地未提交文档；本轮只新增本PRD/implement及三个task摘要，不接管其他旧差异	明确提交授权后按路径拆分并复核差异；各task确实满足全部验收且另获归档授权才归档，收尾不等于提交/推送/部署许可

阶段交接结论：已发布功能和本次受限演练按实际完成范围结束；开放项继续留在原task，不阻塞独立新需求的规划，也不免除未来发布门禁。下一业务需求为公司借款台账与本金归还，须另建任务并完成方案确认，本轮未创建或实施。主会话完成记录核对，不冒称新增独立复核。

复盘：task.json摘要落后于implement和发布回执，造成“仍待部署/全部未做”的误读。本轮只纠正三个直接关联摘要，以本节指向最新证据；历史commit仍为追溯锚点，旧记录和未满足验收保持。既有project-governance及docs-and-evidence已覆盖阶段/任务、实现/发布/外部验证分离规则，本次无新代码合同，不重复新增spec或文档。

本轮收尾验证：三个task上下文校验、Trellis治理、process baseline及git diff --check均退出0；Trellis敏感扫描1237份文件通过，14份已登记历史证据摘要通过。文档注册检查0错误，保留既有22份未登记文档的一项告警，不借收尾扩修。9个证据入口及6个原任务归属存在性检查通过，不等于重新执行其测试或验收。

范围核对以本轮开始时2988份跟踪文件摘要为基线，只有列明5份任务文档/元数据发生本轮变化；三个task.json仅notes改变，status/completedAt/commit保持。四份既有冻结包共96个文件的集合与内容摘要前后相同，HEAD及真实index摘要不变，本轮范围外原有差异未变。无产品测试/构建/浏览器重跑、无新独立复核/生产访问/恢复/业务写入，无提交/推送/归档/部署。结论为“阶段收尾记录完成，原任务开放项保留”，不是全task完成或新业务实施开始。

2026-09-17 P2/P3本次受限恢复已完成，结论保留PARTIAL

用户01:33Z实际执行回执与本地唯一JSON核对一致，三摘要绑定R3 33001f58…/新执行包f7cf4d62…/源d9a23d59…。真实DB及影子认证只读应用PASS；62引用仅1条已接受历史缺件、未知不一致0；清理/后验PASS、生产写入false。RPO25372秒，整体PARTIAL_KNOWN_MISSING_AND_SENSITIVE_DECRYPTION_NOT_TESTED，不是完整灾备PASS。01:36Z主会话另读确认临时恢复容器/网络/目录0、暂存入口已移除、两监控timer正常、生产ready仍b1。

本次批准的P2准备/P3一次执行及分项验收已完成，不再要求管理员跑命令，不重新暂存或重跑。08-23保留完整附件/计时与敏感解密未覆盖，密钥来源UNKNOWN不改变；自然新回单/退回通知等待与日期/错误治理原到期任务不因此全结案，不制造业务事件或改密钥/生产数据。原R2 NO_GO与两级冻结包不改，实际新结果与清理证据归08-23最新节；未提交/推送/部署/归档。

2026-09-17 R3新源绑定与入口已就绪，待管理员单次执行

接回用户01:18:40Z sudo回执：d9a23d59…新源完整、6.81小时、实际runId/相对目录已证明，归档/timer未改，未恢复。01:22Z生产ready、ARM两镜像及71项完整迁移映射再核PASS；08-23已据此冻结新bundle，保持R3原执行器/helper/精确例外不变。执行manifest f7cf4d62…、入口011b42bd…；12项封装+4项传输合同通过，01:28Z仅普通用户暂存并回读一致，没有启动恢复或改生产。

新的交互sudo单次入口run-approved-bound-restore.sh已备，旧入口不复用、既有范围不重复申请批准。新包是R3已审代码加主会话验证的绑定封装，不称整个新包已独立复核；真实执行仍受现场最新性/24小时/资源/隔离门禁，最高保留PARTIAL、任何新增不一致停止。当前待管理员运行并回传实际结果，细节及完整相对命令归08-23最新节。

最终本地104/104、两级包摘要/文件集、入口语法及Trellis/process/diff门禁通过，源R3仍原字节；状态READY_FOR_MANUAL_SUDO_FRESH_PREFLIGHT。尚未执行root入口或第二次真实恢复，不提前结案。

2026-09-17 R3内容通过、新镜像配置已验，待目录只读回执

继续推进时发现外部完整报告已落盘，六项内容静态审查通过、无阻断项，报告SHA256以08-23登记的fd58e491…完整值为准；三条信息级卫生项在08-23登记已知接受，不改冻结候选。结合已转回的独立包完整性与54项重跑，内容门禁已满足；19项PG和构建15项仍不是独立重跑。

固定b1镜像无网纯配置专项已实际PASS：密钥缺省空/非空fail-closed、真实依赖/无替身、隔离metadata通过，工具容器精确清理PASS；未启动OA/DB、不恢复、不读生产Secret、不部署。新增目录绑定探针及交互sudo只读入口已准备，主会话合并88/88通过，R3冻结30件未改；尚无真实runId/目录回执，新bundle仍待绑定。用户只需在项目根执行postrelease-recovery-20260917/read-arm-source-binding.sh对应入口补受保护目录身份，不用重复批准既有恢复范围；回执后再定稿执行输入与现场预检，详见08-23最新清单。

2026-09-17 R3外部完整性与独立54项重跑通过，内容结论待接回

接回用户转述的独立结果：包完整性/两份delta/R2字节保留PASS，包外54项重跑exit0、4.557秒，30件跑前后不变；原始日志由独立方保管，本会话未取得原件。19项PG合同未独立重跑、构建15项不在此次范围，不能把本地69项全部称为独立通过。外部内容审查b1ferktxd仍在进行，R3包内PENDING与冻结字节不改；本会话仅复算包摘要并在08-23包外记录进度。仍须内容结论、新源目录/制品配置绑定及现场预检后才可恢复，不因中间回执启动应用或生产操作。

2026-09-17 新源匹配b1镜像已构建，恢复仍待门禁

用户批准08-23/design固定b1源码的ARM64原生构建，已于00:45Z完成一次构建exit0及产物元数据核验；image5d279fef…平台/BUILD_SHA/OCI revision正确、容器0、旧镜像保留，内存/磁盘后验10.23/87.84GiB。新增15项保护测试及合并69/69通过，均主会话执行；缓存9处，不声称全新安装或原amd64字节复原。仅构建不部署、不启动OA、不恢复、不读生产密钥、不删旧镜像；R3独立内容复核仍待接回，既有恢复授权不重复申请，实际runId/目录及新制品配置证据未补齐前不生成恢复入口。冻结包30件/manifest33001f58…保持；详情及完整摘要归08-23最新回执。

2026-09-17 新鲜ARM备份已核实，匹配镜像待准备

接回用户sudo只读结果：09-16T18:30:04Z自然源d9a23d59…、b1d25d3c，5.75小时、DB/storage摘要及字节通过、归档元数据/timer未改；旧09-15源超龄不再选用。已按原件回执保存，尚无新源真实恢复通过。

新源原image与当前生产一致但为amd64；ARM97个image清单无b1匹配镜像，仅旧b7对应制品。静态71项migration及实际Dockerfile/锁文件一致不能替代同源码镜像。08-23/design已准备一次b1原生ARM64构建申请，不部署/不恢复/不读Secret/不清旧制品；此新构建未授权，先不执行。R3独立内容复核仍待回执，冻结包不修改；既有精确例外与一次受限恢复批准不重复询问。

2026-09-17 历史缺件精确例外已批准实施

用户批准08-23/design的窄验收修订，推进本地实施/定向测试/重新冻结及独立复核后一次恢复；不重复确认同一范围。旧09-15源已超过24小时，先只读刷新源/镜像事实，未绑定新鲜源前无新执行入口。其他业务资料不删除，生产不写入，最终只允许带明确历史缺件和解密未验限制的PARTIAL。详见08-23最新实施记录。

本地实施及54项单测/19项真实合成PG查询合同通过，容器/临时文件清理PASS；R3冻结28份文件，manifest33001f5894ab48c99cac92c388837fcb1b5c549536f0ee29ccedb010d1017100，仍待独立增量复核。source binding明确PENDING，未生成新恢复入口。普通生产归档访问不可用，ARM盘点无可证明的b1镜像，不能猜新源版本或复用过期b7备份；已备交互sudo只读选源脚本，可与外部复核并行，不增加恢复/生产写入范围。明细与证据归08-23最新节。

2026-09-16 受限恢复执行回执：数据库PASS，附件引用NO_GO

用户手工sudo一次恢复已完成并清理：固定源RPO20.41小时，preflight/prepare/database通过；storage因ATTACHMENT_REFERENCE_MISMATCH停止，app未运行、解密NOT_TESTED。cleanup与源/生产/timer后验PASS、productionWrites=false；完整恢复不得判PASS。本次聚合错误没有给出数量或细分原因，不直接称旧测试件缺失。原入口已消费，按08-23最新记录先只读归因，不自动重跑、不删除或豁免引用；其他自然业务等待和历史技术债不因此结案。

只读归因新增事实：当前62条引用中仅一条存在/大小异常，为b22a1162…历史原件缺失；原09-11文档标记证据已从另一隔离副本找回。精确记录manual归档、备份后未更新且七类关联均空；未验证当前61件内容SHA，仍需恢复副本确认是否另有不一致。建议只对该精确记录制定历史缺件例外，保留原NO_GO与PARTIAL，不把所有归档票据排除；涉及验收门禁改变及第二次执行，按08-23/design拟议补充集中确认一次，当前不实施/不重跑。

2026-09-16 独立单测已通过，准备受限恢复现场入口

用户转回外部23项单测exit0回执，Python3.9.2、0.088秒，21份包文件前后摘要一致且未产生pyc；原始日志仍在独立方scratchpad，本会话按转述登记，不冒称已取得原件或亲自独立执行。R2完整性及独立单测两项已满足，包仍冻结为076078be…；内容结论保留有条件通过。

按08-23最新清单，继续固定ARM镜像配置专项、摘要绑定的原执行器封装和交互sudo入口准备；不要求重复批准已授权的受限恢复。真正源/最新性/manifest及环境门禁必须在ARM当场执行，未恢复前不得写成已通过。附件覆盖限制已登记，密钥解密仍NOT_TESTED；不提交/推送/部署，不制造业务事件。

14:46–14:50Z已补实际ARM镜像config+冻结app-check非空fail-closed验证（实际依赖、无替身），工具容器精确清理PASS；原R2字节封装入口SHA e2f57c3e…已普通用户暂存并回读一致，未执行真实恢复。主会话入口6项+传输2项通过，独立23项不重复计数。当前READY_FOR_MANUAL_SUDO_PREFLIGHT：交互入口run-approved-restore.sh先现场只读预检，通过后执行既已批准的影子恢复；仍需要用户终端sudo密码，不能代理取密钥或扩权。详细证据/限制及02:30北京时间源过期门禁归08-23最新节。

2026-09-16 恢复R2有条件通过：等待独立23项重跑与当场ARM预检

外部包完整性PASS、内容无阻断代码缺陷；证据Finding4仍是执行门禁，不能称无条件放行。已在包外补b7源码config及非空字段密钥fail-closed验证，目标镜像环境无FIELD_ENCRYPTION_KEY；主会话测试明确不计独立执行。附件无摘要/请假附件仅存在性覆盖、tmpfs noexec建议均已写入08-23验收边界，R2冻结内容和076078be…摘要不变。

下一步由原独立复核会话执行其已提出的23项单测重跑；真正管理员执行时现场preflight重核ARM源/时效/manifest及生产健康，旧观察不沿用。受限恢复授权已有，不重复确认，也不将当前条件结论直接升级成真实恢复通过。

2026-09-16 恢复执行准备已实施（授权已接回，不重复申请）

已获受限ARM恢复授权，完成一次性适配器、23项本地安全单测、既有32条runner合同输出及ARM纯合成DB备份/恢复/附件负例/应用认证只读链，临时资源清理PASS。注意合成回执restoreStarted=true不代表真实恢复；realBackupRead=false，root宿主tmpfs及真实源/解密仍未测。

R2交审包restore-once-review-20260916-r2已冻结，manifest 076078be37dcd3c03c4be9b3413904b01fe1ac86f1bf34b34db88cc240334b05、19份文件复核一致；独立只读review仍PENDING，不能由主会话自检冒充。R1把createdAt误当目录runId的输入问题已只读纠正并在R2单独登记，旧包未重写。详情归08-23最新记录。

下一必要依赖为外部只读结论与ARM管理员执行入口；不重复问用户是否批准同范围、不自动扩sudo权限或绕过源24小时门禁。未恢复真实备份、未改生产数据、未新增付款/OCR/消息、未提交或部署。

2026-09-16 P2恢复审批清单已补齐（尚未演练）

08-23/design已固定一份受限清单：已核源manifest与同源码ARM64镜像、30分钟时限、DB/附件/应用隔离与资源上限、影子DB只读角色、短期影子JWT身份和精确清理。纯配置专项PASS，不启动应用或数据库；远端仅补读可用资源。特别边界：不接触生产字段密钥，故敏感字段解密NOT_TESTED，整项完整应用灾备保留PARTIAL。源过24小时须重新绑定，不拿完成构建作无限期源授权。

清单待用户对其中影子恢复/权限DDL/短期认证读取/应用运行范围集中批准，再完成合成安全合同测试与执行器冻结。未实施真实恢复、未新增生产写入/云调用或提交/部署，具体剩余以08-23最新节为准。

2026-09-16 13:29 UTC：匹配源码ARM64镜像已构建

本次镜像构建已获明确批准并执行完成。来源固定备份对应b7d2285d，产物1d4d70f84397…为linux/arm64，BUILD_SHA与OCI revision一致；元数据回读确认无该镜像容器、盘余87.91GiB。首轮因tar输入识别失败停止，查明无产物后以gzip修正传输，第二轮构建exit0；两份回执均保留。详细输入/基础镜像/lockfile/产物摘要及边界见08-23最新记录与postrelease-recovery-20260916。

本阶段仅完成原生跨平台重建，不是原生产制品复原，更不是应用运行或配对恢复PASS。没有读取真实备份/Secret、启动OA、调用云业务、修改生产或提交/推送。P2的应用镜像缺口已补；只读身份/解密及最终恢复资源和安全清单尚待核定，P3真实恢复仍单独授权。

2026-09-16 13:20 UTC接续：异机完整性已证，应用镜像待准备

P1人工权限缺口已由用户sudo只读回执补证：ARM最近两份自然批次与生产摘要相同且DB/storage完整，最新18.78小时、盘余89.38GiB；两个自然日期的异机完整性通过，但08-28原task其他验收不自动结案。原先ACCESS_UNAVAILABLE保留为普通账号历史事实，不覆盖新的人工结果。

P2按新批准完成95个ARM本地镜像版本元数据只读检查，未找到可证明对应备份源码的应用镜像：BUILD_SHA/OCI revision均无有效提交标记，原amd64源image也不在集合内；有ARM64 PostgreSQL16标记镜像。下一步建议单独批准同源码b7d2285d的原生ARM64应用镜像准备，构建仅用源码及依赖，不带生产.env/密钥/备份、不启动应用；细节归08-23执行记录。备份恢复和应用只读验收仍未执行，无新增云调用/业务操作/部署，不沿用元数据检查授权开展构建。

2026-09-16 后续实施回执（12:50–12:54 UTC）

用户批准按规划连续实施。本轮实际执行本地对账及生产/ARM只读观察；未提交、推送、部署、备份、恢复、发送消息或调用OCR。下节PLANNED描述为实施前历史状态，以本节实测为准；整体状态PARTIAL，不能宣称全部完成。

• P0：实际生产仍b1d25d3c，server运行身份前后不变；公网/ready末次检查PASS。已发布的日期/动态错误批次不重复实施。
• P1：生产最近两个自然批次（09-15、09-14各18:30:05Z）数据库/附件字节及SHA256均匹配，归档元数据未变；最新批次年龄18.34小时，build b7d2285d，不是当前b1同源备份。生产备份timer active、上次service success/0，盘余27.39GiB。ARM架构aarch64，deadman timer active、上次service success/0，但普通账号对正式归档ACCESS_UNAVAILABLE，非交互sudo不可用；不能据timer成功推断异机完整或两个周期验收通过。
• P2/P3：源镜像实测linux/amd64，目标ARM为aarch64；ARM镜像集合、容量及归档仍待有权限只读核验。状态HOLD_ACCESS_AND_PLATFORM，尚不能固定有效恢复来源和应用镜像。没有创建容器/网络/卷、下载真实资料、启用仿真或改sudoers；不切到生产宿主恢复。具体下一门禁归08-23执行记录。
• P4：12:31:00Z至12:52:18Z限定窗口内新增回单0、通知0，WAITING_NATURAL_EVENT。实际pgboss回单队列及5秒调度存在，近30分钟completed任务29，jobsEnabled=true、provider=tencent；当前未归档回单2件均legacy。空队列tick完成不证明原件消费成功，不重传历史件。三条回单相关迁移成功/未回滚；这不是全库迁移复验。只读事务查询，无日志正文/原件读取，无人工入队或云调用。
• P5：22项原task全部重新索引PRD/设计/执行记录摘要、引用提交与当前发布祖先关系、77条证据路径引用在执行副本/原仓库的存在性；不修改原验收复选框或批量归档。3个task含未直接解析到的引用，可能为缩写/其他隔离副本入口，不能判证据丢失或验收通过。共享日期外部输入/派生分类及错误基线新盘点写回09-05；AST registered229、migrated316、legacy612、finding0，不延期。

证据统一位于ignored的artifacts/qa-layout/postrelease-recovery-20260916：production.json、arm.json（非交互权限不可用）、arm-unprivileged.json、business.json、public-postcheck.json、task-inventory.json、reasons.json。task-inventory只证明索引和关联，不证明77条证据内容全部重新验收；原始冻结包未改。主会话执行/自检，不新增独立复核结论。

必要外部前提只集中为：取得ARM正式归档的可用只读执行方式，不需要用户提供业务密钥；据新事实冻结源/目标及架构方案后，再申请一次具体恢复写入授权。自然事件等待不安排虚假业务，历史全量验收缺口保留，不能用本轮索引或部署祖先关系结案。

本轮收尾验证：Trellis治理PASS、process baseline PASS、git diff --check通过，两个只读Python探针编译与任务索引脚本node --check通过；无产品改动，不新增产品测试/构建计数。稳定边界已由部署spec的配对恢复/只读备份调查及当前恢复设计覆盖，本轮实测权限与架构写入task，不另建重复spec。三处旧差异保留未改，未暂存、提交或归档。

2026-09-16 后续执行总清单（替代旧阶段下一步）

状态：PLANNED_NOT_EXECUTED。本次用户批准更新规划，不新增远端操作、提交或部署。主会话执行/自检，不派实现或检查子代理；需独立内容复核时单列真实外部结论。技术执行与证据由执行端负责，责任人沿原task的shunli；只在范围、风险、验收实质变化或受保护操作需要时集中确认。

顺序	归属与工作	可验收产出/退出条件	依赖与边界
P0 状态对齐	本task	以b1d25d3c发布回执更新代码/发布事实；旧22行表按PRD证据逐项映射，不按祖先关系全部打勾	已上线内容不重做；三处09-04/审批中心旧差异不混入本轮
P1 备份只读核验	08-28传输task，供08-23选源	同一观察时点核生产/ARM最新自然批次、manifest/字节/SHA、年龄、来源build/image、timer/最近退出码、容量及镜像平台；形成PASS/NO_GO/NOT_VERIFIED字段	先确认只读授权与访问范围；不以12:25手工备份冒充自然周期或异机副本，不重传/清理/修监控
P2 集中恢复申请	08-23恢复task	固定一个源manifest与匹配镜像、一个ARM隔离目标、资源预算、禁外联开关、安全只读应用验证方式、精确清理对象及停止条件，提交一份操作清单	以P1最新事实为前提；缺架构/权限/密钥访问条件先查清，不请求用户提供密钥值；不默认采用09-15旧8d历史源
P3 一次隔离恢复	08-23恢复task	获批后DB、附件引用/适用摘要、匹配应用分别出结果；记录RPO/RTO、原备份未变、生产前后健康、清理回执；失败按阶段停止并保留脱敏证据	未获源/目标专项批准不执行；缺失附件不按“可能测试”剔除；/ready不能替代应用业务读取和解密能力检查
P4 自然业务观察	本task、09-04退回通知、09-11交接	出现新回单时只读核队列→结果→实际登记；自然退回事件核站内待办/通知与企微投递记录，分别披露	无对象则等待，不重传已付回单、不发测试消息、不制造审批/付款；不阻塞P1/P2及技术债准备
P5 对账与债务	本task协调，09-05等原task实施	22项按代码/发布/验收/剩余对账；其他日期消费者先区分外部输入/内部派生，再按风险分批；错误遗留612次/591条为上轮基线，后续须新盘点	09-25复审、09-30必要延期提案、10-02查漏、10-05到期门禁沿原计划，不统一续期；这些是人工节点，不声称定时任务已创建

执行顺序P0→P1→P2→获批P3；P4等待自然对象，P5可在等待窗口并行。P1若已有一个合格最新异机批次，可进入恢复准备；08-28事件正式结案仍需两个连续自然周期的独立证据。资源不足、源损坏、身份/平台不符时停止，不自动更换成旧源或改用生产宿主。当前应交付的是P1只读操作范围与P2方案，不再为刚发布代码重复测试/打包/部署。

已知参考（非新核验）：2026-09-16T12:25:04Z手工备份build842c61e6，manifest 3e8c9d900d2b5290fa73931aede61f5f48e421590292a120d14fd33222ede678；镜像归档b1407e44715d55a4aef07965ddeb34362683155df7b36cb95b637cd5376bd222；同机、未传ARM、未load。当时生产磁盘约27.41 GiB可用不是ARM今日容量。新自然备份与新平台事实都待P1核验，不拿旧86%/8.93GB或历史89GiB作门禁。

R1外部内容结论接回与R2修订

已收到新Claude会话的只读内容审查：有条件通过，F1动态文案退化阻断，F3/F4需登记。本轮按原范围修复F1/F2并以311项定向回归、真实登录JWT+隔离DB+浏览器缺字段修正专项证明；F4转审文案写明10至500字；F5补财务双端href及BX/PB均消失断言，22项浏览器重跑通过。F3共享日期解析及其消费者留待独立批次，无历史数据回填；F6批量错误透传为后续债务，F7防枚举声明仅限邮箱码链，详情见09-05记录。

R1保留，不将R1有条件通过称为R2已独立放行。新R2需完整/增量/两笔拆分重放一致并登记源摘要，再做增量内容复核；当前仍未提交/推送/部署。两笔分组继续产品修复与纯任务记录，三处旧差异排除不动。

2026-09-15 交审与集中操作边界（未提交/推送/部署）

本轮不再追加功能，冻结当前错误治理及六项收口记录到本地交审包error-explainability-review-20260915-r1。拟按两笔路径拆分：09-05产品原因码/日期校验/测试/规约/本任务执行记录；09-08及关联task的纯协调/验收/恢复计划记录。共享文件不重叠，两笔顺序重放须等于完整冻结树。既有09-04-reimbursement-state-gap-finance-view的design/implement与docs/需求-统一审批中心规约.md三处旧差异排除，不覆盖、不提交。

包内必须如实登记：未提交提交对象、未推送、未部署；主会话自检而非独立内容审查；471/27/22与构建为前阶段原日志复用，不新增测试通过计数，日志脱敏后单独摘要；冻结树只证明补丁/源一致，不回溯证明原测试时已冻结。当前规约/治理重验单独登记，不伪造新的业务验收。

集中操作清单：①只读内容复核与两笔提交/推送准备（本地包不自动批准提交）；②复核通过后绑定实际新候选重新核生产版本/迁移/磁盘/备份/独立回滚制品，取得该候选发布例外再部署并由执行端验收；③08-23固定历史同源备份恢复单独授权，不与发布合并为默认副作用；④真实通知或额外OCR如确有需要，按接收对象/资料/次数单独批准；自然业务未出现则等待，不重开已付款历史单。旧候选b7d2285d的已消耗授权不覆盖本包。

2026-09-15 第三阶段统一接续（优先于旧“余项未实施”文字）

收口结果：D联合19文件471/471、通知三文件27/27、本轮构建双端浏览器22/22（零重试）通过；typecheck/build/AST/流程治理通过。B四交接本地验收矩阵已回填09-11 task，临时preview已停止。以上均是本地验证，不新增生产验收或独立复核通过计数。

剩余事项分层：本批代码待按路径收口及只读审查，取得明确提交/推送/新候选发布批准后才能上线；C固定历史源配对恢复方案已写入08-23 task，真实源恢复/镜像加载待专项授权，最新自然备份/传输另需新时点只读事实；E自然新回单没有对象不造业务；F来源UNKNOWN保留风险结论、不轮换。A的22行对账是已完成初核，不代表全部历史PRD的验收证据已补齐；其余模块到期治理保留原负责人和期限，不能用当前通过回归宣称全项目所有技术债清零。

D已补齐invoicePool主路由、查验查询以及workflow路由剩余原因码，目标路由遗留清零；全库695→612，仍有其他域和utils/workflow的遗留，不统一延期。发票日期负例同时暴露日期溢出问题，已本地补UTC回读校验，未改历史记录。最终证据归09-05原task；不能将本地修改称为b7d2285d已发布。

B沿已有四交接浏览器用例执行PC/手机重验，不重写已上线投影。通知路由/渠道/dispatcher三文件27/27通过：本地合成证明配置过滤及发送编排，不证明真实企微消息到达。自然新回单和真实通知缺对象/授权时如实等待，不让员工反复代测。

F闭环口径：生产字段加密密钥来源UNKNOWN；仓库中测试生成器/固定合成值不证明生产来源。现有受控单页OCR隔离队列PASS只证明那条运行链可用，不证明生产密钥高熵。不再追问用户，不读取密钥值/历史命令、不自行轮换；未来如需轮换，必须独立制定双密钥解密、存量指纹兼容、恢复与回退方案。身份矩阵沿当前资格重验回归；实际人工例外须在真实来源人与提案人确定后判断，不能提前保证有人可审。

提交/推送/新候选发布、真实配对恢复及消息发送仍是需集中明确授权的操作，不沿用旧授权。所有本地完成项与外部验收等待项最终一起汇总，不按task数量重复实现功能或批量归档。

2026-09-15 连续实施第二阶段（以此补充首批记录）

最终14文件同轮367/367本地回归通过，涵盖登录、付款账户、选票/文件授权、发票查验、审批输入/权限/转审/退回通知/详情、门户与回单独立复核。未重跑公网或生产通知，不把合成回归当真实交接；本轮不要求员工代测。AST及流程治理通过，具体命令见09-05执行记录。

D继续完成auth/me、发票查验错误及七个审批输入parser，连同首批共新增34个注册原因；最终AST legacy695→656，未延长任何到期日。权限、审批状态、付款资格、云端发送及数据库结构均未改。各轮针对性测试通过，最终同输入合并验证另记。实现/具体错误名单/证据归09-05原task，不把第一批“auth/me待做”误读为当前未实现，也不把全部错误治理当作已完成。

下一顺序仍是：完成invoicePool上传/识别与workflow余项的逐操作迁移和验收；核四交接PC/手机证据及通知投递边界；把恢复源/目标/历史附件处置凭据集中成可批准清单。没有真实自然回单不制造业务，来源未知的密钥不猜测、不向用户再次索要，也不自行轮换。缺失历史附件不能仅据“按已确认处置保留”的历史文字就认定已落库治理完成。

整个六项主线未完成，本地提示修复尚未发布。提交、发布、真实配对恢复分别需要明确范围授权；不为上述本地工作反复提问，不沿用已消费的部署/OCR授权。

2026-09-15 统一计划首批实施进度

A：已形成下方22项四栏事实表，区分当前发布包含性与全量验收缺证据，不批量归档或重复部署seed/门户。A仍有历史验收证据关联工作，不能只靠表格标全完成。

B/F：实际运行portal、workflow.return-notifications、paymentReceiptManualReview三文件47/47通过（4/4/39）。这是已有本地逻辑回归，不是PC/手机重测或生产企微投递；本轮未发现要重写的状态/资格逻辑。密钥来源仍未知，用户此前不知道内容/时间/方式，不再向用户索要，亦不以“管理员创建”作证据。

D：付款账户和发票读取的14个具体错误解释已实施，AST legacy695→687，日期未延长；四文件同轮207项通过，客户端typecheck通过。代码与证据细节归09-05-error-explainability-payment-readiness/implement.md。新提示尚未提交或发布，不沿用b7d2285d公网通过宣称已上线。

C：在本执行副本已查任务记录与现有qa证据入口，没有找到能闭合历史缺失附件实际标记/删除决定的记录，因此不能按“测试件”自动剔除。当前仍准备具体隔离恢复范围：优先选最新已核完整的同manifest源，绑定源镜像而非当前任意镜像；恢复前核源时效、容量、隔离身份、禁外联及精确清理范围，生产原记录不改。缺失治理决定与恢复写入须在集中授权清单明确；不新造复杂runner掩盖这个证据缺口。

E：真实单页隔离队列PASS保留，不重复消耗腾讯调用；自然生产新回单仍等正常业务对象。上述等待不阻止D后续auth/me、发票识别与审批错误迁移，但这几域尚未做完，不把第一批当整个统一计划完成。

2026-09-15 A阶段22项对账结果（发布基线b7d2285d）

下表“包含”只指已有代码锚点是发布候选祖先；无登记提交则交叉查Git，不以元数据空值推断未实现。未核全量验收的行明确保留等待，不批量改status或归档。当前代码差异另列D阶段，本表不将未提交提示修复称为上线。

原task	代码事实	发布事实	业务/验收状态	剩余/等谁
08-23-isolated-backup-restore-drill	有现有工具/合同，无task提交锚点	运维工具不以应用发布计完成	历史DB恢复有PASS，配对恢复未证实	执行端准备源/目标并集中申请恢复授权
08-28-production-arm-backup-transfer-incident	有只读调查及传输阶段诊断	旧调查不证明当前异机传输	当前自然批次待重新核验	执行端只读核传输/异机完整性
08-28-reimbursement-detail-material-preview-fixes	46bfa7e包含	包含于当前发布祖先	父task不能按子项计数直接结案	对齐部署子项与只读投影子项
08-28-reimbursement-detail-material-preview-deploy	task无提交锚点，不等于未发布	与父实现发布证据交叉核对	planning文字过期与否需按验收判断	补映射而非重复部署
08-28-reimbursement-nonparticipant-readonly-projection	e8d6766包含	当前候选包含	原角色隔离验收不能由本次门户4项代替	核原测试/独立审查边界
08-29-reimbursement-expense-policy-invoice-guard	6e999d5包含	当前候选包含并有后续发票优先改动	不回退到旧流程重新实现	按最新合同关联后续验证
08-30-reimbursement-expense-policy-invoice-guard-deploy	无登记commit	与父task代码及部署证据对齐	缺本轮全量证据映射	补发布/业务验收分栏
08-30-reimbursement-assets-prior-approval-correction	36c86f1包含	当前候选包含	本次未测试资产业务	不扩改资产规则，核旧验收
09-01-reimbursement-one-page-approval-workbench	父task，无登记commit	子项有已包含代码	子项完成不等于父体验全部完成	核三子项最终验收
09-01-reimbursement-approval-content-workbench	c840574包含	当前候选包含	本次不重做审批详情布局	补原UI证据映射
09-01-reimbursement-form-shared-component-migration	4b974fd包含	当前候选包含	本次未再做组件迁移	以原消费者回归核范围
09-02-reimbursement-readonly-content-consistency	e48514d包含	当前候选包含	不能用付款页面验收覆盖只读页面	补只读角色及内容证据
09-04-approval-return-notification-gap	2e69fe4e包含	当前候选包含	本轮退回通知4项单测通过，不是生产投递	核routing及自然/受控投递，生产写入另批
09-04-reimbursement-state-gap-finance-view	后续229867f5等包含	finance-owner-release已有发布/公网回执	当前代码已上线，不再“待部署”	分开历史附件治理及未提交事实记录
09-05-error-explainability-payment-readiness	a837912及后续842c61e6/b1d25d3c包含	最新日期/动态提示批次已发布，calendar-contract-release可追	独立526项及构建通过；本轮AST registered229/legacy612/finding0	其他日期消费者分类完成，历史错误仍按原期限治理，不统一延期
09-05-existing-deploy-db-lifecycle-isolation	f223bfb包含	本次部署证明DB未重启	本次运行证据不是首次初始化全路径测试	合并已存合同测试与发布回执
09-05-trellis-upgrade-rule-cleanup	review状态，无登记commit	本地工作流无需公网发布	本轮治理检查PASS不代替原改动审查	核既有规则清理差异，不重装Trellis
09-06-release-gate-integrity	81102c26有提交	当前发布实际执行前后预检PASS	当前pending=none，不伪造故障生产演练	故障断言沿原合成证据对齐
09-07-manager-ap-access-scope	有既有权限修订历史，task未登记commit	不凭任务空字段宣称未上线	本轮未全量审角色/数据范围	查实际提交/矩阵，禁止顺手摘角色
09-08-reimbursement-payment-closeout	8d08d46d/b7d2285d	部署与公网只读验收通过	43项隔离链及单页真实队列PASS	自然生产新回单、密钥来源未知、例外职责按实际对象核
09-09-existing-deploy-seed-separation	b87cc55a有提交	当前候选包含且existing发布执行成功	旧“本地未发布”只代表历史时点	不重复拆seed；对齐初始化与配置检查证据
09-11-reimbursement-payment-handoffs	fedcaed1及后续身份取消修复包含	当前候选包含	本轮portal4项通过；PC手机历史66项不虚增重跑	身份切换原证据与实际交接验收分列

本轮已消除“22个活跃task=22项未开发”的误导；没有把以上待证据映射项记为全部完成。继续优先能影响当前报销付款业务的B/D/C/F，不为了归档历史大task扩做资产/采购新功能。

2026-09-15 六项统一执行计划（后续工作入口）

用户要求一次规划连续执行，非必要不提问。本表覆盖后续顺序，不覆盖下文已完成发布/测试证据；新产品实现归对应既有task，当前阶段不新建任务、不批量归档。执行端负责软件验收，真实资金决定仍由业务负责。

阶段	归属task	本轮交付及完成条件	等待/批准边界
A 事实对账	本task协调，各原task回填	22项逐个列代码、发布、业务验收、等待项；核候选祖先/实际文件及发布回执，旧文字加日期纠正，不抹历史	不用祖先关系代替全量PRD验收；归档/提交不自动执行
B 待办通知	09-11-reimbursement-payment-handoffs、09-04-approval-return-notification-gap	四交接角色矩阵、计数/入口/完成消失、站内与外部通知边界；补确认缺陷及PC/手机、真实隔离HTTP回归	企微发送/生产routing变更另列一次操作清单；不为测试制造真人退回
C 恢复可靠性	08-23-isolated-backup-restore-drill、08-28-production-arm-backup-transfer-incident；历史附件治理归09-04	核当前自然备份/异机传输、缺失引用处理决定及证据；准备并在获批隔离目标完成DB+附件+应用只读恢复，逐项PASS/NO_GO和清理回执	当前只有备份完整性及既往DB恢复证据；具体真实源/目标恢复另批，未知附件不删，不覆盖生产
D 错误到期治理	09-05-error-explainability-payment-readiness	重跑实际AST盘点，按操作修paymentAccounts、invoicePool、auth/me、workflow高频已启用路径，原因/映射/测试齐全；余项有理由、责任与复验点	不把673条基线当673个故障；不统一续期，不更改未启用模块的业务规则
E 自然回单验收	本task	保留已PASS单页真实隔离队列；新业务自然出现后只读跟踪queued→匹配/异常→登记前资格，记录生产链实际覆盖	等正常业务对象；没有对象不重复OCR、不重新开已付单，不作为其他本地工作阻塞
F 密钥/例外职责	本task，角色范围参考09-07-manager-ap-access-scope	只查非敏感来源/保管/恢复记录；未知有风险结论和后续处理方式；合成矩阵验证独立复核，实际例外按参与人核资格	用户明确不知道密钥内容/生成时间/方式，撤销“管理员创建已确认”的推断；不再追问、不换密钥或扩权

执行清单与里程碑

• 确认官方指针09-08及当前生产候选b7d2285d，记录现有未提交差异，不跟随过期09-04注入换范围。
• 扫描22个task元数据及历史commit是否为当前候选祖先；只形成初核，不声称全量对账完成。
• 重新统计错误基线：673个entries，count合计695，expiresOn均2026-10-05；09-15距到期20天。计数不是当前源码仍命中的AST数量。
• A逐项对齐验收与证据，优先已上线seed/preflight/AP/门户/付款，剩余页面和通知按实际commit核范围；缺证据项列出具体缺什么。
• B确认业务路径实际缺口后做最小修复，不重复已上线的门户身份隔离；补站内/企微渠道分层验收。
• D在09-18前完成首批高频操作迁移和定向验证；09-25复审余项，09-30前准备逐模块延期理由，10-02查漏。日期是检查节点，不声称已完成或自动计划任务。
• C并行准备真实配对恢复清单，核旧附件治理结果；批准具体源/目标后执行一次简单恢复，不扩演练装置。
• F先完成来源证据调查和职责合成矩阵；未知留结论，不以无限调查阻塞其他工作。
• 一次联合检查：后端定向单测/真实隔离DB与HTTP、前端typecheck/build及PC/手机流程、文档与治理；权限/状态机差异要求只读复核，inline受限如实留待审。
• 汇总需要提交/推送/部署/恢复/生产配置的准确范围及风险，一次呈报；批准后分笔提交、整批发布并由执行端公网验收，不逐按钮征询。
• E等待自然业务对象时只读观察；最后交付已完成/外部等待/已知风险三栏，不用“全完成”掩盖自然业务或未知来源。

初核发现（不是全量验收）

22个task中12个登记的历史commit为HEAD祖先，10个未登记commit；未登记不等于没提交，登记旧SHA也不等于任务全完成。Git另查到seed=b87cc55a、预检=81102c26、门户交接=fedcaed1及后续身份修复、退回通知=2e69fe4e均有提交。当前发布包含性须结合后续差异核验，不据旧“未提交/未发布”段落重做。

错误基线首批候选计数：paymentAccounts 1；invoicePool主路由30/read7/verification7/shared schemas1；auth路由15+插件1、me2；workflow路由20+utils15。workflowDefinitions11单列配置域，不因名称相近扩入首批。下一实际AST扫描需识别已消除但未清理的基线，不能仅按这些数承诺修改量。

执行中只在范围/风险/验收实质改变、需要真实资金或新增生产敏感写入、无法从仓库确定的业务决策时提问。普通实现取舍、测试工具修正、同范围重验由执行端自主处理；外部等待转做其他已批项。不新建定时任务，不默认提交、归档、清理或使用旧发布授权。

2026-09-15 单页真实回单正式队列隔离验证通过

用户明确授权后，先以合成样本走同一工具。首轮worker已matched但验证工具错误把非唯一attachment_id用于findUnique，导致工具NO_GO；未调用腾讯且完整清理。修为按attachment_id及当前source_version查最新证据后合成PASS。此为工具修复，无产品源码变更，不消耗真实调用预算。

随后真实阶段仅执行一次：PASS_ISOLATED_QUEUE，externalCalls=1、pages=1、attachmentState=matched、claimedVersion=1、queueWorkerMatched=true、evidenceEncrypted=true。沿正式startReceiptPgBossJob→真实pg-boss消费→正式runReceiptOcrTick/recognizePaymentReceipt→腾讯BankSlipOCR→正式匹配/加密落库；原件与冻结付款信息来自此前批准的同一历史单页样本，金额与来源单金额在调用前核相等。normalized和账号/原件只存在主机管道及隔离tmpfs内，不输出普通日志，不保存至本地工作区。

paymentRecorded=false，隔离库claim为0、批次保持reviewed；productionBusinessWrites=false、productionRuntimeUnchanged=true、cleanupComplete=true。一次性数据库/runner容器及独立网络均删除，原件临时存储和加密证据随tmpfs消失。没有改生产executed批次、legacy附件、paid/claim或角色，没有额外调用和自动重试。

证据isolated-queue-synthetic.json与isolated-queue-real.json位于receipt-followup-release目录；运行器queue-isolated.cjs SHA256=d0fdcacbf7fb0bb0a23feaf7c466b3553aa2a9f298f7300fd971b52f3f06d36b，host脚本=fdf9abea5c70a40ac4b9f27f9ff0476be1bb45e6986e2fc45f44ec835689c7de。语法及diff检查通过。此轮未独立复核工具、不新增产品提交或发布。

结论边界：该真实单页逐笔回单的正式队列worker/腾讯/匹配/持久化适配已验证，不再列为纯合成未知。测试采用显式向隔离队列send一次（manuallyEnqueuedIsolatedJob=true），未证明自然cron触发、生产上传链或多笔汇总回单模型；银行验真/到账不在此证据范围。生产未来新回单正常上传后可只读跟踪自然消费，不能为了验收重新上传已付款历史。剩余密钥生成来源需要管理员提供生成方式/受控记录位置（不要密钥正文），实际人工例外复核资格须待具体批次/提案参与人出现后判定，不因当前无批次声称全部通过。

2026-09-15 授权单样本隔离队列验证

用户批准复用此前一份历史已付款回单、腾讯最多一次。实现为生产服务器上的一次性Postgres容器/独立Docker网络/当前候选镜像只读runner，数据库与原件临时存储均tmpfs；不绑定生产存储到runner。先以合成样本验证工具。真实阶段仅在生产容器执行固定原样本选择的只读事务及原件大小/SHA/单页校验，凭据/原件/解密候选仅经主机内存管道传入runner，不输出日志、不转移本地、不复制生产字段密钥；隔离库使用随机新密钥加密证据。

采用正式startReceiptPgBossJob注册真实pg-boss队列，显式向隔离队列send一次任务，由worker自行领取→正式recognizePaymentReceipt/Tencent→匹配及加密落库；不直接调用runReceiptOcrOnce，不调用付款登记。SDK方法加仅一次预算守卫，不替换真实阶段的返回值；单页条件在调用前强制。测试只能证明显式入队后的正式worker链，不冒称自然cron触发或生产上传链。真实尝试开始即留STARTED标记，失败/超时不能自动再发送。finally仅清理本轮容器/网络/tmpfs，另核生产服务身份未变；清理失败须报告，不删除旧制品。

2026-09-15 发布后业务就绪与队列再核

用户要求继续下一步，本轮执行只读元数据查询，无生产业务写入、原件读取或腾讯调用。北京时间16:14核到线上仍b7d2285d、Tencent/pgboss/jobs启用，最近30分钟payment.receipt.ocr任务30条completed，限定日志内tick失败0。有效附件仍两份legacy；reviewed/failed报销批次为空，因而不存在本轮可按真实来源/提案人核定独立复核人的对象。空集合不是“全部资格通过”，completed空转不等于真实回单消费。

密钥字段已配置，但受查现有部署指引/任务记录未提供生产密钥随机生成的来源凭证，不能通过长度、密钥摘要或测试脚本的randomBytes推断生产高熵；未读取密钥值、未查shell历史、未轮换。只读证据business-readiness-current.json与queue-current.json位于本轮release证据目录。

下一受控验证优先在隔离数据库/存储内运行正式pg-boss调度链，使用既有已授权样本的一份原件须重新明确读取/腾讯发送范围，最多一次provider调用；不得将已执行生产批次改回reviewed、重排legacy或伪造真实付款。允许范围未确认前仅准备方案，不实施真实原件重传。若未来实际业务产生新回单，可对正常业务自然消费做只读跟踪，避免额外发送。密钥来源需要管理员提供生成方式或受控记录位置，不发送密钥正文。当前仍未完成这两项事实验收，不新增任务、不将软件回归转交员工。

2026-09-15 b7d2285d发布及公网只读验收通过

授权发布b7d2285d8d1a2a912222917f7c74067f8bd9f810完成，部署命令退出0，build-init/run-init/build-server/build-switch-server均PASS，应用发布及自动备份合同刷新完成。发布前与发布后正式只读迁移预检pending=none。三份既有回单迁移finished=true/rolled_back=false且checksum逐一匹配候选SQL，无本次新增迁移。

公网/ready构建标识匹配、页面可达、bundle扫描105份资源/零finding；递归读取公网JS确认新的系统失败与受控重传文案已发布，匿名付款批次API返回401。运行版本精确等于候选，server/db均运行，db容器身份/启动时间不变，环境文件摘要不变。此为公网只读/资源验收，不伪称真实登录生产业务验收；完整密码JWT浏览器付款链证据仍为隔离合成测试43项。

队列只读回读payment.receipt.ocr已注册，jobsEnabled=true、Tencent provider、Asia/Shanghai每5秒调度，限定日志范围内无receipt tick失败；历史未归档附件仍两份legacy，未重传。本次检查不证明真实回单已消费，未代付、未改业务角色/银行资料或向腾讯新增发送原件。

证据位于artifacts/qa-layout/receipt-followup-release：deploy-fresh-preconditions.json、deploy-result.json、acceptance-result.json、runtime-after.json、queue-after.json。当前版本发布前备份与镜像归档已独立回读，未restore/load演练。可对外称本轮修复已部署且公网只读验收通过，不将项目全部任务、真实回单闭环、合格独立复核人或密钥来源核实标记完成。剩余：在明确原件范围授权下验证新回单真实队列消费及形态，按实际例外参与人确定合格复核人，并核实密钥生成来源；不让员工代测软件基础功能。

本次发布记录为b7d2285d提交后的本地task补记，尚未提交；候选内容未变，不自动创建额外记录提交或归档任务。

2026-09-15 当前版本恢复制品补齐与授权发布

用户明确批准当前线上版本备份和独立镜像归档写入，并承接b7d2285d本轮发布授权。复用已审查备份工具，固定8d08d46d构建与运行镜像、校验三份备份脚本SHA，持有自动备份互斥锁，只新增手工备份、不更新自动成功状态；数据库/存储大小与SHA核对后另连接扫描同源备份独立回读通过，manifest SHA256=56a9addf57556580c46205ae8e68b01a8e23a45ae7757d4cfce9ec9c92660c86。运行容器身份/启动时间未变，未声称恢复演练通过。

独立镜像归档1120237568字节、镜像配置和各层摘要验证通过，并另连接全文件SHA/权限回读PASS_IMAGE_INDEPENDENT_READBACK；同机Docker存储外制品，未docker load、未清理旧制品。证据位于artifacts/qa-layout/receipt-followup-release中create-backup-result/check-current-backups-result/save-image-result/image-readback/runtime-before-switch等JSON。

发布源为远端精确候选b7d2285d的干净克隆；发布脚本重新核验生产仍8d08d46d、手工同源备份24小时内且完整、部署身份归档匹配、剩余空间不少于15GiB、服务身份及环境摘要不变。预期迁移显式为空、SYNC_ENV=0、不开新worker/minio。仅所有条件通过才执行既有生产bootstrap部署；不自动退镜像、代付、发真实回单或改角色。实际发布/公网结果后记，不能将本准备记录称为已部署。

2026-09-15 b7d2285d已推送，发布停在备份与回滚前置

用户确认9路径提交范围，承接已同意的推送/发布顺序且前置不满足不部署。实际提交b7d2285d8d1a2a912222917f7c74067f8bd9f810，普通快进推送main并ls-remote精确回读；排除09-04两文件与统一审批中心文档。未amend、未归档。远端main克隆为独立干净发布源，不用脏工作树部署。

重新只读核验：线上仍为8d08d46d，服务运行且检查期间未重启；存储/数据库卷约30.64 GiB可用、使用率48%，无需清理。最新自动备份完成于2026-09-14T18:30:50Z，数据库/存储大小与SHA通过、manifest匹配，但备份build是229867f5，sourceImageMatches=false；不能视为当前8d08d46d同源恢复点。部署身份下独立回滚制品NO_MATCHING_ARTIFACT，旧版本归档不替代当前版本归档。

正式只读生产预检最终退出0、待迁移为空；首次包装参数误把无迁移写成none导致停止，改为显式空值后重新完整运行通过，不放宽迁移校验。证据目录artifacts/qa-layout/receipt-followup-release含两身份metadata、首次preflight.log和最终preflight-final.log；均无业务写入和部署。预检命令PASS不覆盖备份与回滚缺口，整体发布仍NO_GO。

下一步需补当前线上版本数据库/存储一致备份与独立镜像归档并分别回读完整性，再重核前置后发布；不删除旧制品、不自动回退或重传真实回单。本段为提交后的事实记录，尚未包含在b7d2285d中。

2026-09-15 浏览器同链与恢复指引收口

新增test-payment-receipt-browser.cjs作为既有DB脚本显式RUN_RECEIPT_BROWSER=1模式；要求RUN_ISOLATED_DB_TEST=1及RUN_RECEIPT_REAL_AUTH=1。正式buildApp/auth/me/付款路由、真实本地HTTP与Vite代理，不替换业务API。实际密码登录→上传合成PDF→真实文件读取及worker领取/匹配落库→UI明确登记→同库paid/claim/审计；另测错金额、缺密钥、重复交易不登记及财务退出→复核人登录→财务再登录。创建单据/批次复核预置，OCR provider合成，worker手动调用，不证明腾讯/pg-boss调度/生产全链。

账号切换仅验证正常退出再登录、真实/me身份及无残留对话框，不冒充迟到401竞争或全站缓存隔离。缺密钥浏览器反例是key_failed，不是数据库故障；SQL事务中止的独立失败回写由既有DB测试覆盖。负例浏览器未主动调用隐藏的execute接口，后端拒绝由既有HTTP/DB测试覆盖。首页portal开关未启用的409及服务测试残留不完整来源夹具导致的偶发列表404不计入付款链验收，不静默mock为成功。

前几轮曾发现preview导入形式、refresh Origin配置及来源夹具缺项，均在测试工具修正，未修改生产认证。正常链和三个反例、切账号在同轮43项通过，最终输入再验见后续记录。两套视口系统失败横幅不再引导禁用的详情，权限/状态机/readiness不变；管理员恢复按手册先修前提、另批原件重上传，保留失败历史，无新重排队接口。

只读独立复核发现app dotenv与Vite默认环境文件读取违反隔离合同，已将dotenv固定到本轮0600空文件、拒绝dotenv_config_*参数、删除override环境选项、Vite envFile=false。未据此认定曾读取生产秘密或发生云调用。禁用真实jobs/OCR/外部通知，清理WECOM/TENCENT/SMTP/LIVE_SMOKE环境并在finally恢复；随机口令/token不输出。重跑需先client npm run build，绑定当前dist摘要，不以旧dist证明新源码。

当前不提交推送、不部署、不生产写入。后续真实业务剩余：新回单实际队列消费、合格独立复核人安排、密钥高熵来源、汇总回单形态/存量legacy处理仍不可用合成测试替代；人员职责由业务决定，真实原件外调/重传另批。项目其他存量任务不因本轮局部完成批量归档。

最终源码输入绑定：DB脚本SHA256=cfbae0100e5b312bbd768c60c9604ad7770709230e086d2664d652a1b7040485，browser脚本=7f1fc1c5d264e8cc86e551ca233f45b21a9203c45b8335884119d3c2723a024a，PaymentBatchesPage=f62cbbfecc62df3d2d2ef0fa57b3192c0e34dff1006bb8f16c247ab9a3263786，system-action-confirmation.spec=511ff3d840335d76ba524ac754dbb40a9657d3d377c012c5bcf07976729e2242。client npm run build（含typecheck）通过后，按client/dist递归排序路径与文件SHA逐行拼接所得SHA256=e9b6ac54e53ee6dbd59180fb2c1106441db7b1de7d7ccb0a4c3a3717d08b0b1f；后续浏览器均使用该构建，未再改产品源码。

独立只读复核最终确认dotenv/Vite两条隔离阻断已闭合，无剩余静态阻断，未运行测试；上述覆盖自限保留。首次扩大UI回归23项中21通过、2项制单因未指定既有BIFF8解释器失败；改用既有PAYMENT_ORDER_PYTHON_BIN重新跑同23项，不改产品生成器。治理/process/diff通过；文档registry零错误、保留22项未登记文档的既有告警，不扩修。

最终执行结果（以上源码摘要输入）：RUN_ISOLATED_DB_TEST=1 RUN_RECEIPT_REAL_AUTH=1 RUN_RECEIPT_BROWSER=1 node scripts/qa/test-payment-receipt-db.cjs为43/43 PASS；默认RUN_ISOLATED_DB_TEST=1 node scripts/qa/test-payment-receipt-db.cjs为36/36 PASS，两模式不相加为79个不同场景。一次性DB/存储/浏览器清理完成，无生产访问或云调用。client中以既有BIFF8解释器运行E2E_MODE=local E2E_BASE_URL=http://127.0.0.1:4318 playwright test tests/e2e/system-action-confirmation.spec.ts --grep '回单' --workers=1 --reporter=line，23/23 PASS（桌面及390视口）；测试preview已停止。

本机证据SHA256：receipt-browser-final.log=30442ae9452f29dcd80331f2952bf721fb3d5b7ea1af53e600f203e5413de2e1；receipt-default-final.log=bde4416ec62e0a56c4feccc66d6e477902896e37bfd2787084ecce5b2905e224；receipt-followup-ui-final.log=0c70c6f033af62814ef1504ff998a71c7ebc5797b60ea30b8a010bac259a13e4；receipt-followup-build.log=2ba7c8d9a3f1cb7a545579e6a143d4e7b7199c9b34ebfecb2c35627c21ef6d14。暂存在/tmp，未形成正式冻结发布包；不能沿用R3宣称新增代码已获发布授权。

下一步：按当前任务路径整理本轮提交范围（排除09-04两文件与统一审批中心文档旧改动），获得明确提交/推送/部署授权后冻结新候选、重新只读核发布前置、部署并由执行端做公网验收。若只批准部分阶段则只做对应阶段；不让员工代跑软件回归。真实复核人/密钥来源/新回单队列验收仍单列，不用本地PASS填平。

2026-09-15 隔离正式认证第一段实施

在现有test-payment-receipt-db.cjs增加RUN_RECEIPT_REAL_AUTH=1显式模式，默认保留原合成actor夹具。新模式注册真实cookie/auth插件及auth路由，不覆盖authenticate或hasPermission；随机合成密码使用正式hashPassword落一次性数据库，通过POST /api/auth/login获得JWT和refresh cookie后用于既有付款业务HTTP链。伪造原synthetic-finance字符串在新模式下401。无生产.env、真实票据、云调用或外部通知；不用预签token绕过登录。

执行RUN_ISOLATED_DB_TEST=1 RUN_RECEIPT_REAL_AUTH=1 node scripts/qa/test-payment-receipt-db.cjs，38项通过、数据库容器清理完成。结果authentication=actual_password_login_and_jwt、browserTested=false；真实密码/鉴权到手工核验/独立复核/付款登记与重放拒绝已在同一数据库验证，使用Fastify inject而非浏览器网络，不称真实JWT浏览器全链。随机密码/JWT未输出。源码语法通过，默认模式另做回归。

当前仅测试工具修改，未改产品源码、未提交推送/部署。剩余实施是可选浏览器模式、真实本地API代理及上传→worker链；本轮通过不能消除浏览器全链缺口，也不改变生产已发布版本8d08d46d。实际入口继续复用本脚本，不扩第三笔产品改动。

默认模式回归36项通过、清理完成；真实认证38项与默认36项是两个模式，不相加成74个不同场景。git diff检查、node语法及Trellis治理通过。两轮安全回执分别为本机/tmp/receipt-real-auth.json和/tmp/receipt-auth-default-regression.json，尚未形成冻结交审包。

2026-09-15 正式认证浏览器全链准备

用户同意下一阶段先做隔离验证准备。官方指针仍为09-08，不因注入09-04换任务。此轮只检查本地测试入口并补当前PRD/执行合同，未访问生产、未新调用OCR、未创建测试数据库或运行产品测试。

已核代码入口：scripts/qa/test-invoice-first-http.cjs已有真实hashPassword、auth插件、auth路由、浏览器及Vite代理；但存在自定义/api/me和辅助API拦截，且ocrProvider默认选择tencent，不原样跑整套脚本冒充本轮无云验证。scripts/qa/test-payment-receipt-db.cjs目前真实DB/Fastify但authenticate是合成actor注入，不能继续称真实JWT链。server/src/app.js导出buildApp并提供startJobs依赖注入，正式auth路由POST /api/auth/login提供密码登录。

准备采用路径：

1. 在现有回单隔离脚本中添加显式可选浏览器模式，保留默认36项DB/HTTP验收；先搭loopback正式app/auth与随机合成账号，不拷贝生产环境、不启动真实通知/ERP或未授权worker。
2. 注入外部识别响应仅用于合成样本，复用runReceiptOcrOnce的真实认领/版本/落库流程；不得直接写matched/claim模拟后台完成。是否覆盖pgboss调度另列，手动触发一次worker不算调度端到端。
3. Vite代理全部业务API到真实本地Fastify，浏览器实际密码登录、上传、等待匹配并确认登记；不拦截业务API、不改/api/me输出伪造权限。明细和批次等前置业务数据允许由合成夹具建立，哪些前置跳过UI明确记录。
4. 先单笔正常链，再错金额/系统失败/切身份/重复交易反例。只有对应脚本完成并实跑才增加“真实JWT+浏览器+DB同链通过”，否则继续保留缺口。
5. 清理本轮浏览器、preview/app、DB连接/容器与临时文件，摘要记录exit和cleanup；真实生产单据及历史回单不碰。最终独立复核与提交按既有明确授权边界，不把测试准备当产品再次发布。

下一实际实现入口为现有test-payment-receipt-db.cjs的可选真实认证浏览器模式，不新建Trellis任务，不混做管理员恢复功能。发现必须改产品合同才重新讨论；既定范围内本地测试实现不反复索要确认。

2026-09-15 发布完成与上线验收

授权候选8d08d46d16bad2a571e034a6c02ab20801273be4发布命令退出0，build-init/run-init/build-server/build-switch-server均PASS，应用发布及备份合同刷新完成。部署后正式预检pending=none；三份迁移finished=true/rolled_back=false，数据库记录checksum与候选SQL逐一一致。没有执行初始化seed或业务付款。

公网验收PASS_PUBLIC_READ_ONLY_ACCEPTANCE：ready短SHA与候选一致、首页正常、bundle扫描105份/重点2份/buildMarker PASS/findings0；server及db运行、数据库容器身份与启动时间未变、env文件摘要未变。新增receipt-readiness及manual-verification两个GET接口匿名访问均401；这是权限入口拒绝验证，不是正式JWT业务链。

00:13:29Z首次队列检查：payment.receipt.ocr唯一队列、cron=*/5 * * * * *、时区Asia/Shanghai，pgboss+jobsEnabled+tencent，已见completed任务1条。两份未归档旧回单仍legacy，无queued/processing；最后15分钟最多2000条日志中tick failure/attention均0。不能因completed就宣称真实回单已消费；本轮没有手动enqueue、上传或发送OCR，调度仅正常空轮询。第二次跨调度观察结果另记。

00:15:10Z第二次只读观察完成：completed从1增至3，最新完成00:15:08Z，未见其他job状态；旧回单仍legacy两份，受限日志内tick failure/attention仍0。确认调度持续执行空轮询，不推断配置为五秒就实际每五秒产生任务，不把空轮询计作三份真实回单消费。上线技术验收完成，未让员工操作测试；未发起付款或历史回单重传。下一步不再重复部署，后续只处理真实使用中出现的例外与尚未覆盖项。

证据在artifacts/qa-layout/receipt-release-preconditions：deploy-result.json、public-acceptance.json、runtime-after-deploy.json、migration-acceptance.json、queue-first.json/queue-second.json、anonymous-access.json。R3旧冻结包和独立旧镜像归档保留，验收文档修改未自动提交。

边界继续保留：真实JWT浏览器DB同链、真实新队列消费、多笔/汇总回单形态及密钥高熵来源不因发布成功变成已验证；真实一份逐笔回单仅证明R3匹配器适配该样本。无待登记对象时不伪造真人流程，未来人工例外按实际参与人核独立资格。新门禁写入数据后旧镜像不具语义兼容，不能自动回退。当前验证是授权发布后的技术只读验收，不宣称整个业务任务归档完成。

2026-09-15 8d08d46d部署授权与执行中

用户对明确范围回复“是”：部署8d08d46d，执行本批3份附加迁移、启动回单OCR队列，并由执行端上线检查；不代付、不操作历史已付款单据、不自动重传旧回单，异常停止放行。此授权绑定本候选及已披露回退/验证边界，不引用旧发布例外作为放行依据。

执行前再次确认干净published-main副本及远端main均为8d08d46d；生产仍229867f5，备份未超过24小时且库/附件摘要正确，部署账号当前镜像归档校验通过，余量超过15GiB，runtime/env摘要与归档后状态一致。正式来源/目标/迁移预检通过后进入build-init；existing模式、SYNC_ENV=0，不初始化seed、不重启数据库、不启用额外容器服务。部署脚本完成和上线验收分开记录，不在执行中宣称上线成功。

执行证据入口artifacts/qa-layout/receipt-release-preconditions/deploy-fresh-preconditions.json、deploy-result.json（仅执行结束形成）。部署输出只保留白名单阶段事件和整体摘要，不落原始敏感输出。若返回失败先回读实际版本与迁移，不自动重跑有副作用阶段或退旧镜像。

2026-09-15 当前线上版本独立镜像归档完成

用户明确批准仅创建当前线上镜像独立归档并回读。复用既有save-image/read-image操作，限定build 229867f5fd4223d6efadb543a134696f65095763及image sha256:a4824e86baf34271eb32164b0eec1c1ec56f80924f743638eabbd0c7b94b615c，按当前余量检查后写部署账号标准目录的新唯一子目录；旧归档不删、不覆盖。

2026-09-14T23:49:05Z（北京时间09-15）创建完成：archiveBytes=1119437824，SHA256 e1dc2bf3ac8933bb21013bf39708b9ef7eb560967360b646ffa6a73526b38668。归档config摘要对应预期image，14/14层摘要匹配；目录0700、文件0600，归档独立于Docker存储，但仍是同机副本，不是异机灾备。

另起SSH连接从磁盘完整回读，于23:49:35Z返回PASS_IMAGE_INDEPENDENT_READBACK，大小/SHA/权限再次通过；未docker load、未恢复演练。归档前后容器身份/启动时间不变，后置server与db均运行，server仍229867f5，未切换镜像、未部署或执行迁移。写后可用33882103808字节（约31.6GiB）。

证据：artifacts/qa-layout/receipt-release-preconditions/rollback-created.json、rollback-readback.json、runtime-after-archive.json。原先当前版本独立归档缺口已闭合；不等于附加回单证据产生后可随意退旧代码。既有未覆盖项和发布风险边界不取消，部署仍需针对8d08d46d另行批准；正式执行前重核生产/备份时效，不沿用旧授权。

2026-09-15 推送与发布只读预检

用户明确批准推送8d08d46d16bad2a571e034a6c02ab20801273be4并做发布前预检。远端main原为229867f5，祖先核验后普通快进push成功，ls-remote确认精确目标SHA；未force、未部署。

只读生产元数据观察2026-09-14T23:42–23:43Z（北京时间09-15早间）：生产仍229867f5、容器运行且检查期间未变；数据库/存储/备份文件系统可用32.6GiB、使用率44.7%。最近备份完成2026-09-14T18:30:50Z，约5.2小时，同生产build/image，manifest及数据库/附件大小SHA均匹配；本轮未恢复测试。部署账号不能读取备份，root视角完成验证。

独立回滚制品：root标准目录ACCESS_UNAVAILABLE，部署账号标准目录NO_MATCHING_ARTIFACT，已有其他旧版本归档，不存在当前build/image匹配记录。结论限定已检查的既有约定目录，不宣称整机任何位置绝无制品；不能用运行镜像缓存或旧版本包替代独立当前版本回滚保障。未创建归档、未清理空间或旧制品。

正式预检初次在detached干净副本因upstream_missing停在来源校验，未进迁移检查；未绕过校验。改为克隆远端现有main并核HEAD精确等于已推送SHA后重跑，13项聚合检查全通过，来源/目标/DB身份通过，待迁移精确为本批三份，rollbackWindow=OPEN、terminatedRows=0，退出0且明确未进入deploy.sh。此脚本的回滚窗口状态不等于本批附加门禁已能安全退镜像，也不替代独立归档。

证据在artifacts/qa-layout/receipt-release-preconditions：root-metadata.json、deploy-user-metadata.json、preflight.log（初次失败）、preflight-published.log（最终通过）。检查副本保留用于可追溯发布准备，不擅自删旧副本。

当前结论：推送完成，正式只读身份/迁移预检通过；完整发布仍待补齐当前线上版本独立回滚归档及其摘要回读，并处理既有密钥来源/真实消费与例外资格等发布边界。下一建议仅创建并验证当前线上镜像的独立归档，需明确授权写入归档；不加载、不切镜像、不写业务、不清理旧包。部署仍另批，生产三份迁移未执行。

2026-09-15 本地提交授权

用户对33路径一笔本地提交明确回复“是”。提交前实际HEAD为229867f5，真实暂存区为空，R3清单33份中仅本implement.md有已披露的复核/样本/发布准备记录差异，其余32份内容与冻结摘要一致。只按R3 manifest.files逐路径暂存；排除的09-04两份文档及统一审批中心文档不纳入，不提交artifacts或workspace。此次授权不包含推送、部署、归档或更改分支；实际提交SHA以git回执为准，不预先声称成功。

2026-09-14 提交清单与发布执行方案（待授权）

再次核对R3后：仅本implement.md因外部复核结论、生产只读/样本记录增加而不同；其余32份冻结文件零漂移。产品代码仍为已独立审过的R3，不因事实记录更新冒称源码重验。本轮未再次访问生产、发送OCR、提交或推送。

提交合同

建议一笔：fix: 增加回单核对与付款登记门禁（09-08-reimbursement-payment-closeout）。

范围严格采用R3 manifest.files的33个路径：2份模块spec、当前task的prd/design/implement、5份client文件、隔离DB脚本、3份附加迁移及schema、3份常量/原因文件（含服务端夹具）、job接线与worker、付款路由、5份服务和相关后端测试。精确名单以manifest为准，implement使用本次事实记录更新版；实际提交前再次逐路径核对，禁止git add .。

排除09-04的design.md/implement.md及docs/需求-统一审批中心规约.md；artifacts内原件检查工具、发布包和日志不混入源码提交；workspace日志不提交。不得根据detached HEAD自动切分支、改远端、amend或归档任务。用户批准提交后只提交，不默认推送/部署；提交完成记录实际SHA及相对R3仅文档差异。

发布门禁与验证步骤

1. 提交后若另获推送/发布授权，固定实际候选SHA、树和三份迁移清单；已有生产版本229867f5和元数据只是观察时事实，发布前重查版本/迁移/磁盘/备份时点与完整性/独立回滚镜像，不沿用旧容量或例外。使用existing数据模式，不跑初始化seed。
2. 未决事项逐项交代：生产密钥高熵来源未有生成记录；一份真实逐笔单页样本成功，不证明多笔/汇总模型；当前无reviewed/failed报销批次，不证明未来人工例外一定有合格复核人；真实JWT浏览器DB同链未测。不得把单页通过描述成全面生产验收。若当前使用情形必须依赖未验证的模型或没有合格例外复核人，暂停相应上线决定，不靠默认放行。
3. 部署动作会执行已审附加迁移，并在应用启动时创建/调度payment.receipt.ocr队列；这些不是只读检查，必须包含在明确发布授权中。若生产版本或迁移前提变化，停止重新核对，不盲目应用旧候选。
4. 上线后首先验公网ready/build、容器健康、迁移成功；受控只读核验pgboss队列/调度已注册及周期任务完成记录/失败统计，跨至少两个已配置周期观察。空队列成功tick只能证明调度及空轮询可用，不能说真实回单已消费。无允许的排队回单时不伪造paid或自动重排旧附件；真实端到端任务需另获明确样本/云调用与测试写入授权，禁止以财务实际付款探路。
5. 执行端检查桌面/手机已构建页面、失败状态提示和权限拒绝；不要求员工做软件回归。没有对生产附件操作的授权不上传、作废、人工复核或登记付款。单元/合成HTTP/browser证据如实复用，不冒充生产真实认证链。
6. 发现新队列启动失败、迁移失败、健康异常或错误增加即停止继续放行。先冻结进一步业务动作、保存脱敏故障证据，再按独立授权处理恢复。全局JOBS_ENABLED会影响其他任务，不作为无条件回退开关；不删除claim/alias/人工证据，不降级为仅附件存在即可登记。旧镜像忽略门禁，不能自动以镜像回退宣称安全恢复。

人工例外的人员安排

按实际批次列制单人、提案人、所有来源owner/submitter，再从在职且具manager/ceo角色和payment.batch.review权限者排除这些人。不得把普通付款复核人直接视为回单例外复核人；本人报销且仅本人持CEO时可能无人合格。无人合格即报告业务阻断，由用户另行决定职责安排，不加通配、不摘审批角色、不自动改账号关系。当前无需让任何员工提前操作或等待测试。

完成状态：提交/发布方案已准备，R3内容复核通过，真实一份逐笔样本匹配通过；提交、推送、部署和上线消费验收均尚未完成。

2026-09-14 一份历史已付款回单受控样本

用户明确授权一份已付款历史回单、最多一页一次腾讯调用，仅回传状态与匹配结论。选择此前已确认的历史单笔批次及报销，对象须唯一、executed/paid、附件approved且未归档，生产版本仍229867f5；不扩大搜索其他原件。先在RepeatableRead READ ONLY事务读取必要的冻结快照/原单金额及附件引用，退出事务后在生产容器内存读原件并核大小/SHA/单页，解密冻结账号只用于内存精确比较，不回传账号或金额。

实际2026-09-14T13:58:05.284Z完成，externalCalls=1，使用R3冻结matching源码（SHA256 9a1a42d0ec5a9a60ce7de1a58f1ef505e88526d0515e4a854fd617c2107d5fb8）在内存执行：normalizedTransactionStatus=success；amount/currency/payerAccount/payeeAccount/reference均可解析，normalizationIssues=[]，matchStatus=matched，matchReasons=[]，receiptMatchesSourceAmount=true。原件及原响应未保存到开发机或新文件，未写paid/claim/附件状态，未新增OCR重试。

证据artifacts/qa-layout/receipt-release-preconditions/sample-result.json；受控脚本check-sample.mjs只留安全结果，传输/执行结果不明时明确UNKNOWN_DO_NOT_RETRY，不自动重发。该样本证明当前冻结匹配器适配这一份真实单页逐笔回单，不证明多笔批次/汇总回单模型，不能称银行验真或到账证明；也不证明新worker在生产消费，因为它未部署。

发布前剩余：多笔形态如需宣称支持需另取授权样本；高熵密钥来源及真实JWT浏览器DB同链仍未验证，例外独立复核人须按实际来源/提案人判定。当前无待登记reviewed/failed批次，不伪造真人付款来验。未提交/推送/部署、不覆盖R3包；提交范围与发布/上线队列验证仍另行授权。

2026-09-14 发布前受控元数据检查

用户“执行”后按已说明边界开展一次生产只读元数据检查；未发送真实回单、未读账号/原件、未改配置或业务数据，不执行部署。使用既有SSH别名和systemd Compose身份，运行内存脚本；数据库RepeatableRead READ ONLY、statement_timeout10s、有界100条，仅回传聚合资格/配置存在性。证据artifacts/qa-layout/receipt-release-preconditions/result.json，观察时间2026-09-14T13:49:50.438Z。

结果PASS_METADATA_ONLY：生产BUILD_SHA仍229867f5fd4223d6efadb543a134696f65095763，OCR_PROVIDER=tencent、JOB_DRIVER=pgboss、JOBS_ENABLED=true，腾讯凭据字段与加密密钥已配置。未输出值，配置存在不证明权限/解密可用或高熵来源。

新增paymentReceiptOcrJob.js在线上不存在，符合未部署事实；不能将jobsEnabled说成新回单队列已消费，queueConsumptionTested=false。当前reviewed/failed报销批次0，因此没有本轮待登记对象可验证例外复核人，也没有这些批次的legacy附件恢复对象；不据此宣称没有其他未付款/草稿报销或所有报销已完成。历史“唯一待登记批次”记录不沿用。

真实回单状态/逐笔或汇总形态仍未核验。既有脱敏历史证据只能证明一次单页OCR调用及金额匹配，不能替代新模型。下一受控样本建议限定已登记历史回单一份、最多一页/一次腾讯调用、仅回传字段存在性与规范化状态及匹配布尔值，不改原件/paid/claim，不留原响应；样本对象和调用范围明确后再执行，不将本轮元数据读取扩大为任意原件读取。密钥生成来源需依据受控生成记录，不通过读取密钥猜测熵。

本轮不动R3冻结包、不新增产品源码，未提交/推送/部署。仍需受控样本验证、新版本部署后的队列检查及发布时重新核生产资源/备份/回滚制品；本次结果不构成发布放行。

2026-09-14 R3独立复核通过与发布说明

用户独立只读结论：R3包完整性及内容通过，无阻断项；A1/A2/错误分类成立。适用manifest a415ccde2121d927d3aea77d54cba584ef30bd1cda691a1c4fa2d9d9b4f4b74a、树a972f00b80b78ae6cff66cff154b149e854145ce。记录前重新核对33份工作源码零漂移；本节是复核后发布说明增补，形成task文档差异，冻结sources/README/manifest/证据不覆盖。reviewer未重跑产品测试，不新增独立测试通过计数；内容通过不等于生产已可用或获得发布授权。

发布说明必须保留的边界

• 系统失败禁止普通重试仅适用于已成功落库的system_failed/key_failed/snapshot_failed。若失败状态本身也写不进去，附件可能仍为processing，15分钟后现有超时分支允许人工重试，可能再次发送OCR。超时不证明故障已修复；管理员应先查安全告警与系统前置，财务不要反复重试。此例外不称为自动重试，也不宣称已彻底禁止故障后的云重传。
• 当前没有管理员重排队路由或脚本。“联系管理员”首先是诊断并修复密钥/快照/数据库等前置，不代表有现成恢复按钮。修复前置后，在批次仍可编辑、有权限及真实数据/云操作授权的条件下，可重新上传同一份原回单作为新附件进行识别；旧失败附件保留作证，不删除、不伪造新回单，也不重新银行付款。重复交易守卫照常执行；如系统判多笔/歧义不能强行绕过。直接数据库重排队只能另批受控方案，不作为现成能力承诺。
• 全人工录入是「原件留存 + 经办录入 + 独立人员复核」，不是机器核实内容一致，更不是银行验真或到账证明。
• 批次级横幅/readiness/execute在缺有效证据时仍可能提示人工核验，与系统失败附件卡不一致。以附件系统失败提示为准，不尝试禁用的核验入口；这是已知非阻断体验问题，留原任务后续小修，不另建任务。
• 批次离开可编辑状态后附件可能保留processing展示；越界queued清理会消耗一个tick。二者作为已知非阻断限制保留，不解释为付款已失败或实际已执行。

其他发现的明确处置

1. 登记事务的employees/employee_roles FOR SHARE：本版暂保留，保障当前资格重验；优化须有并发撤权验证，不能为了缩锁面删除安全保证。
2. claim RESTRICT与批次item Cascade：当前无删批次路径，本版保留证据保护；未来清理/纠错需专门设计，不顺手改级联删除。
3. manual_rejected后先重做OCR：本版保留并披露额外云调用，后续在原任务评估可复用原证据的修订提案，不静默改当前状态机。
4. key_id明文摘要：仅在高熵随机32字节密钥前提下接受设计；生产密钥生成来源仍待受控核实，不能把“代码校验32字节”说成已证明高熵。不读取或展示密钥，不批准轮换。

发布前顺序与未覆盖

先准备明确范围的受控核验方案，另获生产/真实回单/腾讯调用授权后核实：逐笔或汇总回单模型与状态、实际OCR provider和job消费、合格独立复核人、legacy未付回单路径及高熵密钥来源。财务创建、CEO复核批次不代表该CEO可复核本人报销的人工回单例外。真实JWT+浏览器+DB同链、断电/断网仍未测；软件本地验证由执行端承担，不让员工反复探路。

随后冻结待提交范围并按授权提交推送，刷新生产版本/迁移/磁盘/备份完整性/独立回滚制品，另批新候选发布；不得沿用旧发布例外。新门禁证据写入后不能以仅退旧镜像恢复安全语义。当前未提交、未推送、未部署、未连生产，仍不是任务整体完成。

2026-09-14 A2与错误分类实施

用户批准按修订合同执行。利用已有varchar状态字段持久记录system_failed/key_failed/snapshot_failed，不新增迁移、不储存异常原文。证据事务失败后另开maxWait5s/timeout10s事务，先锁批次，再按附件id/批次/SHA/版本/processing/未归档/approved进行条件更新（UPDATE取得附件行锁）；批次不可编辑或条件失效返回discarded。回写也失败明确failure_recording_failed，日志保留安全outcome，不宣称已落库。没有把数据库整体故障伪装为可可靠持久化。

缺密钥在读文件/云调用前拦住并尝试写key_failed。密钥轮换、业务/银行不支持、身份不全有独立原因码，前后端及夹具同步；batchCandidates显式核密钥，避免通用crypto错误绕过原因映射。系统失败无普通重新识别/人工录入资格；页面指向管理员并阻断登记，不自动重传。管理员恢复须修好前置后另批按版本重排队，本轮不提供无门禁“解除失败”按钮，也未执行生产回填。全人工路径是经办录入与独立人员复核，不是机器核实原件内容。

验证：后端8文件412/412；隔离Postgres及HTTP36项通过并清理，新增缺密钥零文件/云调用、真实SQL除零导致证据事务中止后独立事务持久写system_failed。job单测新增安全分类、回写失败及旧版本条件不命中。测试覆盖不等于实际断网/断电实验；尚未验证真实生产worker及真实回单状态。前端最终构建与新增双端错误提示验收进行中，结果在交审包记录，不提前宣称通过。

最终前端build/typecheck通过（PWA115）；桌面1440/手机390共16项浏览器通过、零重试，含三类系统失败无重传/无核验/无付款动作及原人工关联更正/复核/OCR重试回归。预览已停止。严格原因码检查发现动态查表无法静态登记，改为四个字面量分支后重验，不把脚本退出0误认JSON pass=false通过。R3入口artifacts/qa-layout/receipt-verification-review-20260914-r3/README.md；旧包不覆盖，未提交/推送/部署。最终路由映射改为等价静态分支后重跑八文件；DB36证据来自该机械调整之前，其事务/job输入未变化，明确复用，不新增DB通过计数。

2026-09-14 外部六项复核归属与后续修订合同

收到用户只读内容复核：A1发送范围、A2落库失败悬挂为阻断，其余六项为建议及未覆盖项。现场以SHA核对：被描述的7处漂移精确对应原manifest afc15486f000f6edac6724b313a55734a914474527a49455a632d57de4c42929、树5f58dc07f8b2e1d127f7fe3ca5d0561201532d67；R2 manifest 214be14fed3e1c0588f7b60e8450c656237e2487424e1096a618849fe9e2f762、树e1a9c52f40a421c2952ff4a7e53ee90483ea4871当时33份源码零漂移。不能根据目录称呼/mtime把这份结论错绑R2，也不把R2自检当外部通过。此记录写入后工作树文档自然不同于R2，旧包均不覆盖。

A1本地修复与402/34验证仍成立，新增范围闸待独立内容复核。A2确认尚未修复：持久化事务异常会留下processing，仅返回persistence_failed，不具备持久的失败分类。本次只核验审查对象并细化处理合同，没有宣称新增代码或测试通过；不为了目录改名生成无代码变化的R3。

下一修订顺序：

1. 在原证据事务回滚后，以独立有界事务、批次→附件锁和版本/SHA/processing条件写安全失败分类；晚到失败不覆盖重试、作废、已完成或人工结果。数据库整体不可用时不能保证回写，输出安全失败告警并明确回写未完成，不返回已持久化成功。
2. 系统/密钥/银行快照问题与OCR识别失败分开；识别失败可以人工例外，系统失败引导管理员，不把无证据的失败伪装为可直接人工核验。不得自动循环发送腾讯，修复系统前不能用“重新识别”掩盖故障。
3. 为密钥不可用/轮换、银行或业务不支持、参与身份缺失补独立原因解释，前后端与原因码夹具同步；保留匹配问题的原通用提示。
4. 补持久化抛错、回写抛错、晚到旧版本、作废竞争、错误分类和零重传测试；实际数据库故障注入及页面失败提示验证后冻结R3，提供相对R2及原包的追溯，不继承旧包审查通过。

其他备注处置：HR行锁不能在无并发替代方案下直接删除，保留登记时当前资格保证；RESTRICT是证据保护，不改为级联删除，未来删批次另审；人工否决后重发OCR作为后续体验项记录，不顺带改状态机；密钥高熵来源在发布前受控核验，不读取或展示密钥；全人工例外必须描述为“原件留存、经办录入与独立人员复核”，不是机器验证内容一致、银行验真或到账证明。

外部未覆盖项继续保留：真实逐笔/汇总回单形态与状态、运行中worker、legacy未付回单恢复、合格例外复核人、真实JWT浏览器DB同链。不能将曾成功调用腾讯或本金字段匹配扩成完整真实回单模型已验证。生产/云读取、角色更改、提交推送及部署仍未执行。

2026-09-14 交审后主会话发现：OCR发送范围

用户批准继续既定范围。六项主会话检查发现上传统一queued，retry及worker没有银行报销范围门，非银行/历史差旅回单可能在付款守卫拒绝前已发送云端。这是本地源码路径发现，未证明生产发生外传；原冻结包不改，包完整性PASS不覆盖此行为。

修正范围：上传仅待登记银行报销入队；retry同样限制；worker在批次锁内重查，不合范围的旧queued恢复legacy，不读文件、不调用云端。保留现金/差旅附件保存与既有付款路径。补上传/retry/worker反例及银行正例，定向回归后重新提供增量交审证据；不改角色、迁移或生产配置。

最终验证：八文件402/402同轮通过；真实一次性Postgres及HTTP34项通过，新增现金/差旅/已登记项的worker零读取零云调用检查，清理完成。语法、diff及Trellis治理通过。上传/查询响应也同步关闭非范围重试资格。前端源码没改，原16项浏览器与build只作为复用证据，本轮未重跑；真实JWT浏览器DB同链仍未完成。

执行命令：server下沿上一轮八文件npm test命令（使用既有PAYMENT_ORDER_PYTHON_BIN）；根目录RUN_ISOLATED_DB_TEST=1 node scripts/qa/test-payment-receipt-db.cjs。首轮定向131/131及中途DB31项为过程记录，最终402/34取代，不相加。原包不覆盖；R2交审入口artifacts/qa-layout/receipt-verification-review-20260914-r2/README.md，含整批及相对原包的增量补丁、脱敏单测日志和隔离DB回执。整批独立内容审查、提交推送和受控生产核验仍待完成。

2026-09-14 整批交审准备

用户同意下一步，继续本地交审与发布前提准备；不是生产访问、真实回单发送、迁移或发布授权。官方task指针仍为本09-08任务，注入的09-04流程状态不改变执行合同。

交审包入口：artifacts/qa-layout/receipt-verification-review-20260914/README.md。以当前HEAD为基线，冻结本任务tracked及新增文件的补丁、逐文件摘要与重放树；排除09-04的design/implement及统一审批中心文档。使用临时index，不改变真实暂存区、HEAD、远端，不生成提交。包内不复制真实票据、OCR响应或银行资料。

本轮仅修正文档当前状态，不修改产品源码，不重复计入上一轮398/31/16项验证。inline模式下不派实现/检查代理，整批独立复核标为待外部只读复核，不以主会话准备材料代替独立结论。交审重点和发布前受控检查见包内README；先交审，发现项闭合后再申请有明确范围的生产核验，最后另批候选发布。

2026-09-14 最终输入验证与交审边界

本节更新下列历史阶段的“尚未接线/待重跑”状态，不抹去中间失败及分轮记录。最终银行候选过滤只处理银行项；补现金/银行混合历史回归，现金项不要求银行快照或占用。

• 后端八文件同轮398/398通过：付款路由119、匹配40、OCR9、核验证据20、人工核验39、OCR任务8、pgboss3、错误原因160。沿用既有BIFF8 Python环境，没有新增云调用。
• 一次性真实Postgres与真实Fastify HTTP共31项通过，含提案、独立复核、只读资格检查、登记、重复拦截、来源金额变化全事务回滚以及混合渠道；容器和临时数据清理完成。认证是合成actor夹具，不是正式JWT登录。
• 最终前端build（含typecheck）通过，PWA115项；最终构建浏览器16/16同轮通过、零重试，覆盖桌面/窄屏核验及登记状态。浏览器API/auth为mock，不将它和另一组真实DB HTTP证据合称真实登录浏览器全链。
• 最终浏览器输出为artifacts/qa-layout/receipt-execution-gate-final-ui；本轮自有预览进程已停止。Prisma、语法、严格原因码、process baseline、Trellis治理及diff检查通过；源码输入未变的检查复用，不增加一次通过计数。

交审重点：整个回单增量的角色/参与人隔离、原证据不可覆盖、异步版本竞争、原/新交易身份占用、最终付款事务、掩码与密文边界、双端动作及新增迁移兼容性。既有局部复核不能替代整批独立只读复核；当前inline主会话自检完成，独立复核仍待完成，不宣称已放行。

发布前仍需另批受控核验真实回单交易状态、运行中的OCR/job配置及例外可用的独立复核人，再刷新生产版本/迁移/磁盘/备份/独立回滚制品证据。真实样本不能自动匹配且无合格独立复核人时，应报告业务阻断，不能改为通配或本人批准。已有paid历史不重开；占用/别名/人工证据写入后旧应用不识别新门禁，不得声称只退镜像即可安全回退。

代码	发布	业务验收	等谁
自动/人工核验到付款登记已接通，本地定向验证通过	未提交、未推送、未部署，生产迁移未执行	合成隔离链通过；新增门禁尚无生产验收，不替代既有真实付款事实	整批独立只读复核；生产/云核验及发布另行授权

2026-09-14 付款登记最终门禁与交易别名占用

已接execute：仅银行渠道报销项消费有效OCR/人工证据；保持原批次复核、来源行锁、金额/状态检查和事务边界。补PaymentReceiptClaim.manual_proposal_id与原/新交易身份唯一别名表，同namespace1002锁串行化；最终登记、claim、别名同事务。人工更正的原参考也被占用，另一文件/批次换回原参考不能复用；审核人当前在职/角色/复核权限和所有来源owner/submitter再次验证。不改变既有非银行/差旅历史处理，不重开已付款；新增migration只在一次性DB验证，生产未执行。

新增只读receipt-readiness，以RepeatableRead无行锁/无claim写入重新计算回单资格；前端绑定身份、批次和附件版本/状态，查询成功ready才显示登记动作，加载/错误/未匹配均不放行，可重新核对或查看详情。它不是付款授权，execute仍加锁重验。已登记批次不显示“尚未登记”或“当前渠道不需银行回单”等矛盾说明。

后端8文件397/397通过；其中原正例因没有核验证据首轮7项失败，补明确verifiedReceipt合成冻结快照和真实纯匹配服务生成的证据，未mock最终claim放行；另补无证据、旧版本、错金额、作废、重复、只读readiness零占用和实际execute占用用例。旧差旅历史不并入新报销OCR规则。Prisma validate/generate、语法和diff通过。

真实一次性Postgres30项通过，包含新增原/新别名原子回滚、双身份唯一及幂等、当前角色/参与人变更拒绝、自动与人工并发仅一个claim。新增真实Fastify路由+真实DB链：提交人工核验→ready=false/execute409→独立复核→只读ready=true零占用→execute写paid及具体提案claim→重放409；来源金额变化使claim/alias/付款整体回滚。身份为显式合成actor fixture，不冒充正式JWT登录；邮件/IM/ERP全关闭，无云调用、无生产访问，容器/tmpfs已清理。

测试过程保留：首轮HTTP集成夹具把featureFlag.flag_key写成key，验证失败后修正；随后一次Docker子命令失败未定位（原输出只有行号），补安全operation/exit诊断及“容器已不存在时不覆盖原异常”的清理处理后完整重跑30项通过，不把未知原因说成已定位。DB脚本出口只有安全结果，没有原票据/账号/原始payload。

浏览器第一轮12/12通过（1440/390未核验不得登记、人工关联/更正、独立复核、重试，加非银行路径与查询失败），API/auth为mock，真实DB HTTP另行验证，不宣称同一浏览器完整真实JWT链。最终文案后需以最后构建再跑对应浏览器集合。整个OCR增量仍待独立只读复核及发布前受控样本/运行前提验证；真实样本交易状态值未在本轮读取，不假定都能自动匹配，缺独立合格复核人的例外不得靠通配自审。未提交/推送/部署，不沿用旧发布授权。

2026-09-14 核验详情与双端操作页面接入

新增GET manual-verification，沿既有登录/批次读取/功能和来源部门守卫，RepeatableRead只读事务内核附件版本/SHA；只返回规范化摘要、掩码账号、提案更正字段与说明，不返回密文包/原响应/完整账号。canReview由同一独立复核规则按全部来源参与人计算，仍非写入授权。保存支持只提交字段差异，服务端从绑定原证据补齐其他字段；不让客户端回传掩码账号覆盖真实账号。

沿回单卡“核验详情”打开既有Dialog风格组件，按页展示原识别和人工结果。仅选对应明细不重填字段和理由；更正只提交非空改动字段并要求说明；原状态不明不默认成功。独立审批人查看更正并复核，不合格账号只见等待说明。详情身份/批次/附件query key加signal，关闭后台表单刷新；切身份/批次关闭，卸载后的变更回调不刷新新身份页面。上传/在线查看/下载保留，人工保存/复核均零execute请求。未使用新视觉体系，沿现有组件和样式。

验证：8文件391/391同轮通过，真实隔离Postgres24项通过并清理（新增只读详情事务与掩码检查）；真实DB仍为服务级测试，HTTP为Fastify注入+mockDB。前端初次typecheck因三个未使用参数失败，改用明确_unused参数后最终typecheck通过；build/PWA115项通过，最终固定源码又运行npx vite build后进行浏览器验收。1440/390的仅关联、字段更正、独立复核、OCR失败重试共8/8同轮通过、零重试，保存载荷无账号重填且上传/execute计数为零。测试API/auth为mock，不宣称生产或真实认证整链。

浏览器命令：client下E2E_BASE_URL=http://127.0.0.1:4188 npx playwright test tests/e2e/system-action-confirmation.spec.ts --grep '回单人工核验|回单独立复核|回单OCR失败' --workers=1 --retries=0 --reporter=list --output=../artifacts/qa-layout/receipt-manual-detail-ui。server八文件联合命令同上一节并新增断言到现有路由文件。根目录RUN_ISOLATED_DB_TEST=1 node scripts/qa/test-payment-receipt-db.cjs。diff与Trellis治理通过；旧punycode/Browserslist/NO_COLOR警告未扩修。

仍未完成：execute最终事务消费自动/人工证据、人工更正前后交易身份持久唯一占用、具体提案关联、来源金额/状态及当前审批资格重验，以及真实DB HTTP/双端全链和整个增量独立只读复核。此次inline主执行自检，不继承前轮局部review结论。页面完成不代表最终付款门禁启用；未部署、未提交/推送、未连生产或调用真实OCR，不重开已付款。下一步直接完成登记门禁与整链，不让员工承担软件QA。

2026-09-14 人工保存与独立复核事务接入

实际task指针仍为09-08；注入09-04状态未作为换任务依据。新增PaymentReceiptManualProposal附加迁移及内部持久化服务，绑定原verification、SHA和递增版本，原记录保留。内容及理由加密；只关联未改事实为association_ready、系统关联理由，不要求二次录入或审批；更正为pending_review。原/新指纹和明细已有claim时拒绝，未知密钥轮换拒绝。复核重验原件版本/匹配/占用以及全部source owner/submitter，审批者不得为制单人/提案人/申请参与人；批准manual_approved、拒绝manual_rejected，均不写paid。拒绝记录保留，允许显式OCR重试取得新版本。

接入两个受控POST：receipt-attachments/:attachmentId/manual-verification与manual-verification/:proposalId/review；沿既有登录、财务管理或manager/ceo复核角色权限、开关与来源部门守卫，服务内再次锁批次→claim advisory→附件。保存/决定/版本/审计同事务；响应只有id/status/version，未知内部错误不透出原payload。新增四项注册错误说明并前后端对齐。前端只补新状态文案，人工表单/核验详情还未接。

验证：8文件387/387同轮通过（付款路由109、manual39、verification19、matching40、job8、OCR9、pgboss3、错误原因160）。一次性Postgres全迁移22项通过、容器/tmpfs清理完成，新增保存/审计回滚、并发版本、加密安全摘要、自审拒绝、独立复核仅一次且不付款、原指纹跨批不可改掉、SHA变化拒绝、拒绝留痕及显式重试、审计FK失败全回滚、同额消歧无需重填。HTTP测试为Fastify注入+模拟DB，真实DB测试为服务层，不冒充真实DB HTTP或浏览器全链。

命令：server下PAYMENT_ORDER_PYTHON_BIN=/tmp/hyb-oa-biff8-test-venv/bin/python npm test -- tests/unit/routes/paymentBatches.reimbursement.test.js tests/unit/services/paymentReceiptMatching.test.js tests/unit/services/paymentReceiptOcr.test.js tests/unit/services/paymentReceiptVerification.test.js tests/unit/services/paymentReceiptManualReview.test.js tests/unit/services/paymentReceiptOcrJob.test.js tests/unit/jobs/pgBossJobs.test.js tests/unit/scripts/error-reason-client.test.js；根目录RUN_ISOLATED_DB_TEST=1 node scripts/qa/test-payment-receipt-db.cjs。Prisma validate/generate、node --check、错误原因strict、process baseline、diff通过。旧SDK punycode警告未扩修。

最终补验：保存递增与复核读取的整数上界分开，最后有效版本仍可复核、不溢出；付款路由109/109再次通过，真实DB完整重跑23项通过并清理，包含最终整数版本回归。之前387为修正上界前联合运行，未变输入复用、不增加累计通过数。前端npm run typecheck及npm run build（含116项PWA预缓存）通过；Trellis治理和最终diff通过。旧Browserslist提示未扩修。

当前主线仍未完成：受控核验详情/人工表单/审核页面、execute对自动/人工证据同事务最终重验与claim、真实DB HTTP和双端整链验收。本轮新增事务/接口待独立只读复核；不继承上一轮纯函数局部复核通过。无生产访问、无真实云调用、无提交/推送/部署；不提前发布门禁，不让员工试错。

2026-09-14 人工提案内部校验（接口未接入）

当前继续原09-08，未新建task。新增paymentReceiptManualReview内部服务：完整页数/逐页关联、逐项精确金额币种和完整账号匹配、同额消歧、字段更正来源清单、原交易指纹保留。只关联且事实未变不额外复核；字段更正、缺字段或OCR故障须独立复核。新增身份守卫要求既有manager/ceo业务角色加复核权限，排除制单人、提案人以及所有报销归属人和提交人；未知身份拒绝，admin通配不能代替业务角色或绕过自审。

规范化保留失败/处理中别名冲突的否决线索，人工不得改为成功。只读复核发现原跨页重复可改参考后变成普通更正，已补原指纹重复硬阻断，增加改参考/付款账号不能掩盖重复的用例。原指纹返回仅供未来事务内跨批占用检查，不是公开API字段；规范化账号仍限内部加密存储。

验证：8文件联合362/362通过；修复复核finding后两文件79/79（manual39、matching40），其余输入未变，不宣称365同轮。运行server下npm test -- tests/unit/services/paymentReceiptManualReview.test.js tests/unit/services/paymentReceiptMatching.test.js；联合付款回归使用已登记PAYMENT_ORDER_PYTHON_BIN。RUN_ISOLATED_DB_TEST=1 node scripts/qa/test-payment-receipt-db.cjs的13项通过并清理完成，无生产/腾讯调用。node --check、git diff --check、Trellis治理通过。数据库检查仍针对既有OCR/claim服务，不冒充人工提案落库测试。

独立只读复核补记：本轮manual helper、状态别名否决和对应测试在修复后复核通过，无新增finding。reviewer报告79项内存断言通过，非Vitest，不与主执行79/79累加；未审整个OCR增量/HTTP/事务接线，不以本次局部复核抵扣最终全量复核。

未完成：人工提案持久化/版本与SHA/audit事务、跨批原指纹检查、受控接口及前端、execute同事务接线、完整HTTP和双端验收、整个增量独立复核、授权发布。当前不改变线上付款流程、不重开已付款、不提交/推送/部署。下一步按上述顺序接人工提案与复核事务，再接登记门禁，不单独部署此内部helper。

2026-09-14 上传入队、调度与重试接入

已按批准接入新上传receipt_ocr_state=queued（与附件/审计同事务），既有附件仍legacy不自动外发。cron及pgboss均唤醒共同DB领取器；pgboss独立payment.receipt.ocr队列、retryLimit=0，不借发票落库链。上传/重试接口不在HTTP请求内调用腾讯，失败不反复外发；off/mock配置禁止回退真实腾讯调用。

重试POST receipt-attachments/:attachmentId/ocr-retry要求财务管理权限、功能/来源部门、可编辑批次、有效未作废回单及expectedVersion。queued/matched不重排，processing满15分钟才允许显式重试，失败/待核验/legacy可重试；同事务递增版本及写重试审计，双击/并发旧版本409。前端从服务端接收资格布尔值和状态/版本，桌面手机保留原布局，展示识别状态和“重新识别”，queued/processing按5秒刷新。不返回OCR明文；重试不上传新文件、不登记付款。

验证：7文件联合324/324（付款路由91、verification19、matching40、job8、OCR7、pgboss3、错误原因156）；之后补off/mock禁止真实外调两项，OCR文件9/9，去重总326，不宣称326同轮。Prisma schema前轮已验证且本轮未改；typecheck/build/PWA、错误原因strict、process baseline、Trellis和diff通过。13项一次性Postgres检查通过，含并发重试仅一个版本成功；容器/tmpfs清理完成。本轮无生产访问或真实OCR外调。

双端页面：初次dev服务1440用例在login-identifier出现前超时、390通过，不算该轮全绿；使用本轮已通过build的preview，不改断言/超时，1440/390同轮2/2通过、零自动重试。证明识别失败→重试→queued、按钮消失，重试一次且付款登记/上传请求零次；API mock，不冒充真实认证/后端整链。两组证据分别为artifacts/qa-layout/receipt-ocr-retry-ui与receipt-ocr-retry-built-ui。首轮付款测试缺BIFF8解释器导致两例409，恢复已登记解释器配置后原84与新增7路由全部通过；新增重试测试首轮漏认证头，补合成认证头而非放宽鉴权。

仍未交付：人工更正/消歧及独立例外、execute接核验claim同事务、核验结果详情与完整HTTP/双端闭环、独立只读复核和授权部署。因此不把当前匹配文案或已接队列当作付款核验门禁已经启用。下一步重点完成异常处理与登记门禁后一次交付，未提交/推送/部署。

2026-09-13 实施第三段：后台单次识别执行器

新增claimReceiptJob/runReceiptOcrOnce，仅处理显式queued、未作废且治理approved、批次reviewed/failed的回单。锁序为批次→附件，SKIP LOCKED使两个worker只能一个取得任务；领取时版本递增，旧匹配立即失效。真实文件读取前限制大小，完整性检查失败不向腾讯发送；无自动重试，返回只含安全状态。结果落库复用批次/附件/版本守卫，晚到结果discarded，持久化异常保留persistence_failed而不伪报OCR成功。

迁移新增receipt_ocr_state默认legacy及started_at：既有附件不会自动被外发。新上传入队、cron/pgboss调度、停机超时后的人工重试及页面尚未接入，当前executor未自动启动；processing失败不能静默重传，后续提供显式重试并递增版本。未改变生产或实际上传行为。

验证：四文件同轮69/69单测通过；Prisma generate/validate通过。一次性Postgres全迁移及12项检查通过，新增并发worker单次领取/旧证据失效，以及文件错误零外调且失败状态真实持久化；容器/tmpfs已清理。执行命令为server下npm test -- tests/unit/services/paymentReceiptMatching.test.js tests/unit/services/paymentReceiptOcr.test.js tests/unit/services/paymentReceiptVerification.test.js tests/unit/services/paymentReceiptOcrJob.test.js，以及RUN_ISOLATED_DB_TEST=1 node scripts/qa/test-payment-receipt-db.cjs。非HTTP/浏览器验收，无腾讯/生产调用，未独立复核。

下一步仍需调度/上传入队和重试、人工核验、execute API接线、错误解释与双端页面，再完整验收；69/12不替代这些未执行项。产品入口不得在人工异常处置未完整时先发布强门禁。当前未提交/部署，用户已批准同范围不重复索取实施授权。

2026-09-13 实施第二段：持久化与事务占用守卫

新增三张核验/页匹配/交易占用表、附件OCR版本列和附加迁移；规范化白名单字段加密存储、无原始响应。storeReceiptRecognition在批次/附件锁内检查版本与SHA；claimVerifiedReceipts在调用方事务内重验附件治理、来源版本、完整页数、冻结金额/账号与持久化匹配指纹，跨批/并发重复用advisory锁和数据库唯一约束共同防护。key ID变化阻断，不允许轮换加密密钥绕过去重；后续密钥迁移另审。

最终63项单测（matching40、OCR7、verification16）同轮通过，之前47/62为子集不累加。Prisma generate/validate及服务语法通过；生成使用现有链接node_modules，不修改其他工作树源码。RUN_ISOLATED_DB_TEST=1 node scripts/qa/test-payment-receipt-db.cjs在一次性Postgres16中重放全部迁移，10项检查通过：迁移、事务回滚、幂等、跨批重复、并发重复、作废、晚到作业、SHA变化、版本失效、数据库唯一约束。退出后容器/tmpfs清理完成，无生产访问/云调用/真实文件，非HTTP测试。

中间失败保留事实：首轮数据库失败只有通用错误，补安全code/行号后定位Prisma P2010；直接选择pg_advisory_xact_lock的void返回不兼容，将结果投影为整数后数据库通过。未取消锁、增超时或降低断言。随后补版本与过期结果守卫后按最终输入再次跑完整10项，最终结果才作为当前验收。

仍待：队列/上传实际接入、权限受控人工核验与独立例外、execute路由同事务调用、错误原因客户端映射、页面、HTTP/双端完整场景与独立只读复核。当前新守卫是未接入产品入口的服务，不能声称线上已启用；未提交/推送/生产迁移/部署，不归档任务。下一步从队列版本化调度和路由接线继续，不重复当前测试通过计数。

2026-09-13 实施第一段：OCR适配与纯匹配服务

用户授权继续完成，沿当前09-08任务实施，无生产访问/外调/写入。本段新增paymentReceiptMatching与paymentReceiptOcr及对应两个单测文件；既有09-04发布记录、根checkout治理改动保留，不混提交。

• 字段别名覆盖真实样本返回的“小写金额/币别/付款人账号/收款人账号/凭证号/单据状态”；测试仅用合成字段值。金额严格千分位和两位小数，BigInt最小单位字符串比较，不使用parseFloat或去掉所有非数字来猜值；账号保留前导零，掩码不作完整账号匹配。
• 别名冲突、重复字段（可能页内多笔）、缺失或歧义保持待核验；同人同额候选不自动选第一条、不比较批次合计。受理/处理中/状态不明不能被认作成功；显式失败/撤销/冲正/退汇返回不匹配。
• 专用BankSlipOCR适配只在调用时创建客户端，默认有界30秒请求、不自动重试；PDF逐页处理并记录预期/实际页数，后页失败保留失败状态；5MiB原件/7MiB编码/20页为当前技术安全上限，超限进入待核验而非拒收附件。WEBP在内存转换PNG，校验实际格式及像素/多帧限制，不暴露URL或保存原始响应。
• 纯服务返回的规范化账号/交易参考仅为内部敏感输入，禁止直接作为API响应或日志；匹配结果仅包含状态/候选ID/原因。matched不表示银行验真，也未包含跨批数据库去重、源单复核或交易占用，不可直接替换execute门禁。

验证：首次新测试因模块尚不存在而收集失败（不是40项断言已跑红）；实现后matching 40/40，适配加入后两个文件同轮47/47。命令为server下npm test -- tests/unit/services/paymentReceiptMatching.test.js tests/unit/services/paymentReceiptOcr.test.js；两个服务node --check和git diff --check通过。SDK加载产生既有punycode弃用警告，不影响通过；本轮全mock客户端，没有追加真实腾讯调用。

尚未完成：持久化schema/迁移和加密/交易去重约束、后台作业及晚到取消、权限受控人工核验、execute事务门禁、页面、隔离数据库/HTTP/浏览器整链及独立复核。当前产品入口尚未接入新服务，没有给线上系统宣称已核回单。下一步从核验持久化/事务合同接续，不重复请求已批准同范围授权；提交/推送/生产迁移/部署仍另批。

2026-09-13 权限调整后真实回单OCR复验

用户告知已添加权限并明确要求重试。对同一限定单页回单执行两次BankSlipOCR：13:32:13Z接口成功，返回17字段，但初版探针仅按“交易金额”读取而未取得金额，故当次金额核对为null，不能算失败金额或全量识别失败；13:32:53Z仅扩展探针金额别名和安全字段名诊断后，识别“小写金额”成功，回单/冻结付款明细/源报销单金额三者一致。返回字段包含付款人账号、收款人账号、币别、凭证号、单据状态等；本次未比较账号值、未解释状态值、未核凭证去重或银行验真，不能把字段名称存在当成内容已核对。

两次各1请求，无自动重试，均仅内存读取原件/响应，不保存字段值或原始响应、不改付款记录；旧授权错误回执保留。证据为receipt-ocr-retry-result.json、receipt-ocr-field-diagnostic.json。BankSlipOCR实际字段有版式差异，正式适配须覆盖别名并保留未知/歧义待核验，不能使用初版fields白名单布尔值判定回单缺字段。本轮仅诊断脚本调整，不是产品接入或部署。

用户扩大了云权限，成功只说明当前调用获准，不证明新增权限全部必要。建议管理员保留既有发票功能所需权限和本次BankSlipOCR最小授权，移除无关新增权限后再验证；执行端未读取或修改CAM策略。下一步实施字段规范化/交易匹配与安全登记门禁，已有paid历史不重开。

2026-09-13 获批真实回单OCR试验：授权门阻断

用户明确授权读取刚上传的目标付款回单并发送腾讯BankSlipOCR，仅反馈字段/金额匹配，不展示账号/正文、不修改付款记录。沿此前已核单号/批次限定唯一明细与唯一未归档且治理approved的回单；事务RepeatableRead READ ONLY、10秒语句超时、ROLLBACK。真实文件仅在生产进程内存读取，核大小/SHA/PDF签名和单页，未下载到开发机、未保存原始响应。

12:02:14Z生产229867f5回读batch=executed、报销=paid且paid_at非空，批次明细金额与源报销金额一致；仅此目标单据，不代表三张重提单已独立核验。回单1页且完整性检查通过，已有腾讯凭据和SDK具备BankSlipOCR方法。

调用BankSlipOCR一次，返回AuthFailure.UnauthorizedOperation，试验PAUSED，未取得识别结果、未核回单金额。不能将凭据存在/发票OCR可用解释为回单API已获授权；不自行放宽CAM策略、不换凭据或回退调用其他OCR绕过拒绝，也不重复重试。

待腾讯云管理员核查当前调用身份对ocr:BankSlipOCR的最小调用权限及该服务开通状态；本轮只证明服务返回授权错误，不断言是欠费、未开通或某条CAM规则的具体原因。修复后可按同一限定样本复验，不改OA付款流程或历史paid状态。执行脚本try-receipt-ocr.py及receipt-ocr-result.json在既有finance-owner-release证据目录，Python/内嵌Node语法检查通过。没有生产业务写入、部署、云权限写入或自动补审计事件。

2026-09-13 回单自动核对接续

用户采纳“自动识别与匹配、正常不加负担、异常待核验”的方案。本轮复用09-08更新PRD/design/实施清单，官方current已切换并回读；保留09-04未提交发布记录及根checkout其他改动，不混入当前任务。当前只完成规划与接口调查，运行时代码、迁移、测试和部署尚未实施。

• 确认当前上传只保存附件及审计、登记要求有效回单存在并比较源单/批次金额；没有回单金额解析或匹配。
• 固定已批准范围、异常保存/阻断边界、腾讯专用识别与真实数据外发授权边界；明确不以OCR代替验真。
• 细化核验数据结构/索引、页级作业幂等、敏感字段加密和交易去重、人工核验资格；先审既有队列/付款事务/加密合同，不复用发票业务写入路径。
• 先写金额、账户、币种、交易状态、重复、同额歧义、多页漏页及人工来源的失败测试，再实现纯规范化/匹配服务。
• 接入专用Tencent/mock适配与隔离作业、附加迁移和权限受控核验接口，处理作废/重试/晚到作业及并发占用。
• execute增加服务端核验门禁；覆盖非本人独立复核、普通理由不能绕过、历史已付款不改及旧未登记批次不豁免。
• 现有付款详情显示处理结果与异常入口，正常不多确认；仅维护已有样式，桌面/手机及批次多笔回归。
• 本地单测、一次性Postgres/HTTP/浏览器全链与独立只读review；真实OCR与合成结果分别报告。
• 更新业务事实源与稳定spec，冻结审核输入；提交/推送/生产迁移/部署另批。真实回单外调及实际付款不在本轮自动操作范围。

下一步是数据/匹配合同与失败测试，不继续调整制单备注、不新建任务、不重跑或重复计数上轮519项单测。现有09-04发布验收不作为新回单核验通过证据。

本轮复核输入与提交准备（未提交）

用户批准整理两笔独立改动的复核/提交方案。基线均为5d8cdf12；01为制单备注5文件，02为UI布局11文件，路径无重叠。仅生成补丁、摘要清单并用临时索引验证顺序合并，不改变实际HEAD/index，不创建commit，不推送或部署。复核入口位于layout副本的artifacts/qa-layout/review-preparation/README.md；临时合并树不是发布候选commit。既有验证按输入不变复用，本轮不新增测试通过计数；UI补跑外层143、网银导入未验证、未独立复核等边界保留。提交前须核对冻结摘要，发布前还需验证合并后的实际候选，不能把单包测试冒充集成验收。

2026-09-11 制单备注小改（已批准，独立执行副本）

基线5d8cdf12；独立remarks工作副本执行，官方current已切本task。原integration副本的既有制单准备/恢复/账号隔离记录不覆盖、不混入本补丁。不新建task，不提交、推送或部署。

• 核制单一单一行、冻结payee来源、模板没有备注长度说明，BX配置驱动/PB按日三位流水；编号实现不改。
• 先补备注、多人/同人多单及缺失输入回归，跑红后改备注拼接。
• 跑制单单测与真实BIFF8读回、编号/付款路由相关回归、语法与流程检查。
• 主会话复核最小差异，记录银行导入未验证和候选未发布；不要求真人代测。

本轮验证：旧实现15项中3项按预期失败（备注缺姓名与用途），修改一行运行时后4个测试文件121/121通过：制单15、编号8、付款路由82、付款就绪16。追加用途/备注BIFF8文本类型断言后，制单15/15再通过；不将重复执行累加为新测试数。真实固定模板生成并用xlrd读回，验证15列、3个sheet、模板表头/列宽、中文备注、金额、账号前导零、稳定客户流水号。node --check、git diff --check、Trellis治理和process-contract baseline检查通过。

主会话检查确认运行时只改备注拼接，不动权限、状态、审批、编号或数据迁移；本轮不是独立复核。现有银行模板没有长度上限说明，网银实际导入及长备注接受性未验证。仅本地完成，未连接生产、未导出真实制单、未提交/推送/部署。下一步将本增量纳入候选复核与提交准备；提交/推送和部署须明确授权，不能直接覆盖原integration任务记录或将原有冻结候选视为包含本改动。

2026-09-11 已授权两人所属主体修正（已完成，未部署）

用户明确批准仅财务 wangzhiling 与 yj 两人；按已确认登录标识核对，不扩管理员或 smoke。只把两人的 legal_entity_id 从 NULL 填为执行时唯一启用且未归档主体；两人须在职启用、角色与前次确认一致、直接经理仍为已确认 CEO。禁止读取银行明文或密码，不修改角色、经理、银行资料、单据或付款账户。

复用既有单字段修正合同，先 READ ONLY 预检并冻结两人/主体/经理/角色的摘要；事务中重核 employees 触发器和规则的已审指纹，锁定目标行与主体、条件 UPDATE 恰好两行且失败整体回滚；提交后使用新连接 READ ONLY 回读。状态不符、原值非空、唯一主体不成立或提交状态不明均停止，不自动重试或擅自补偿。执行脚本先作本地语法及合成正反例验证；本轮不提交/部署。

10:50（Asia/Shanghai）READ ONLY 预检通过：两人均在职启用、财务/员工角色集合与既有确认一致、经理仍为 CEO，两个 legal_entity_id 均 NULL，目标唯一启用主体与 CEO 已绑定主体一致。10:51 条件原子更新恰好两行，事务内复核、提交后新连接只读回读通过；10:52 又经独立 SSH 只读复核，身份摘要保持一致。未改管理员/CEO/smoke、其他字段、角色或单据，不创建付款账户。

证据：联合副本 artifacts/qa-flow/20260911-authorized-preparation/ 下 entity-precheck.json、entity-apply.json、entity-readback.json；PASS_APPLIED_AND_READBACK / PASS_READONLY_READBACK。本地 node --check 及 entity-correction-selftest.cjs 13 项合成检查通过；最初旧触发器 fixture 的相对路径定位错误仅发生在本地自测，修正后通过再开始生产字段写入。既有触发器只防员工号变更，指纹与原已审值一致；没有改员工号或绕过触发器。

主数据缺项已补，不提前宣称两人已能真实付款：银行解密、实际提交及业务审批未在本轮执行。今日备份早于本次修正，恢复影响另审；不自动触发备份、回退字段或部署。当前镜像独立制品固定见 09-04 最新回执。

2026-09-11 已授权业务就绪只读核验（未回填、未部署）

09-04/09-11 两笔改动已推送，候选 fedcaed1；生产仍 fe025e65。原已确认四人只读盘点排除 smoke：财务与 yj 的直接经理均为 CEO 且启用；CEO 无 AP 全量权限但保留审批/付款复核，财务不能自审，管理员通配不被当成 CEO 职责。四人的门户/付款部门 gate 均开启，39 个费用类型、3 条规则及 1 个报销活动工作流存在。

当前唯一启用主体和 1 个有效建行付款账户。CEO 的主体、收款资料存在性及主体下付款账户密文存在性齐；财务/yj/管理员的所属主体仍空，不能说他们自己的报销已经能组批。管理员还无直接经理、未关联有效建行机构；是否本人报销决定其修正范围。不要把缺主体说成“财务不能替别人付款”，两者是不同资格。

本轮不读银行明文、不解密、不实际登录/提交或做完整审批人解析，不宣称已证明真人被阻断。财务/yj 的主体回填可单独申请，只改空字段且执行前后回读；管理员是否包含另定，不改 smoke，不重复建付款账户，不顺手改银行资料。证据位于联合副本 artifacts/qa-flow/20260911-readonly/employee-readiness.json 与 gates-transfer-final.json；提交/生产/备份详情共用 09-04 最新回执。部署、真实付款和消息发送均未执行。

2026-09-11 业务就绪只读检查准备（未执行生产查询）

复用已确认身份和经理/主体回填回执，不再猜邮箱或索取工号。排除 smoke 账号，分别核对能登录、能提交、能审批/复核、能组批/登记，不能合并成一个笼统 ready。

• 登录：真实业务账号在职/启用及角色组合，只回传角色与布尔状态，不读取凭据或个人登录历史。
• 提交：核对直接经理和适用审批人解析；财务经理已修正和 CEO 自报兜底只作为历史证据，不推断所有规则都能提交。
• 审批/复核：保留 CEO 审批路由及非制单复核；不用 admin 通配代替业务角色，不修改六个 view_all。
• 付款：主体、付款账户、收款银行资料只回传是否存在/启用/关联匹配。受控解密可用性需另列范围，仅回传成功/失败；门户待办不解密、不输出银行信息。
• 有缺项只报告脱敏对象、阶段、维护职责；真实回填另批，不由本地测试自动推导生产 UPDATE。

报销详情一致性与四类业务待办的本地实施分别归 09-04 和 09-11 任务，联合验证已通过：135 单测、39 页面及真实隔离 HTTP/双端流程。证据见联合副本 artifacts/qa-flow/20260911-combined/；只登记合成回单，没有银行连接。本轮未查询生产、未调用真实腾讯 OCR、未实际付款或发消息；独立复核、提交和部署未完成。

2026-09-10 本轮付款体验已发布

• 代码：付款提交 fe025e65 与删除提交 73fcd5a6 已分别提交并推送，最终统一候选 fe025e65；中文“报销制单”文件名、下载免手填理由但保留敏感/重复下载确认、操作卡下方处理进度及 filename* 解析修复随本轮上线。本节覆盖下文历史阶段的“未提交/未发布”状态。
• 发布：用户明确批准后，23:11:59（Asia/Shanghai）正式 deploy-existing 第二次执行退出 0。第一次依赖下载 ECONNRESET，确认未执行迁移/切换后按原候选重试，无更改锁文件或跳过门禁。新迁移仅来自删除提交；existing 无 seed，数据库容器不重启、环境文件不变、备份合同 refresh 成功。
• 验证：本轮生产只读核验版本、代码/结构摘要、68 条迁移、HTML 与 12 份相关资源、匿名权限守卫和回滚制品；正式公网资源扫描 106 份、buildMarker PASS、findings=0。证据位于主 checkout 的 artifacts/qa-flow/20260910-release-fe025e65/，发布细节和回退限制共用删除 task 最新回执，不另建 task。
• 公网浏览器补查桌面/手机未登录入口，控件可见、无横向溢出、console errors/warnings 为 0；不是已登录付款页面验收。关闭回报 closed 但外层退出 143，已另核本次浏览器进程退出，不包装为整组浏览器命令全绿。
• 业务边界：本次不登录真人账号操作真实批次，不重复导出真实制单、不复核或付款；真实 BIFF8/中文下载/桌面手机付款流程的执行证据仍为合并候选已有真实隔离联合测试，不冒充生产真实付款验收。独立 reviewer 未审制单/前端/BIFF8、完整候选验收缺口保留。
• 下一步：实际付款与回单继续按业务办理，不要求财务或经理替执行端发现基础缺陷。F1 非阻断加固留原删除 task 后续处理；不自动归档、提交补记或清理回滚制品。

2026-09-10 当前执行

合并候选验证与发布边界

• 最终页面回归：合并构建产物 preview，Playwright system-action-confirmation.spec.ts 按“财务先制单/制单失败/付款/银行回单/报销”选择，19/19，退出 0；ui-final.log 为最终证据，ui.log 为中断记录。已检查桌面与手机截图：操作卡下接进度，窄屏无横向溢出，底栏动作可达。当前本地实现与联合验证完成，等待独立复核及提交发布授权。

• 本轮独立付款副本基线 e5685f1；与退回删除按补丁合入 artifacts/isolated-worktrees/20260910-reimbursement-payment-integration，没有提交或覆盖主 checkout 的既有改动。

• 合并 focused 后端：23 文件、296/296；另下载文件名解析 7/7。命令以删除 task 的 focused 列表加 paymentOrderXls.test.js 为准；文件名测试为 tests/unit/utils/client-download-filename.test.js。记录见合并副本 artifacts/qa-flow/20260910-combined/unit.log、filename.log。

• 真实隔离执行：RUN_ISOLATED_DB_TEST=1 RUN_RETAINED_DELETE_TEST=1 RUN_BROWSER_TEST=1 RUN_PAYMENT_EXPERIENCE_TEST=1 node scripts/qa/test-invoice-first-http.cjs；BIFF8 使用既有受控测试解释器。real-db-browser.log 为 PASS_REAL_DB_HTTP，退出 0，数据库、合成文件及浏览器完成清理。

• 联合验证涵盖上传选票填明细、退回重提与三步审批、退回留痕删除与票据复用、并发/事务回滚、财务组批、CEO 复核、非授权下载拒绝、桌面/手机真实下载中文 BIFF8、不要求理由、再次下载警告。不执行真实银行付款，OCR 为真实 worker + mock provider，不能称为本轮腾讯 OCR 新验证。

• 前端 typecheck/build、Prisma validate、UI strict/self-test、错误解释 strict、process baseline、task validate、Trellis governance、diff 检查通过。文档 registry errors=0 / warnings=1，为既有 22 个未登记文件，不扩修。

• 最初真实付款 fixture 缺环境功能开关导致 409，修正仅限隔离配置；浏览器实际复现中文名称被旧解析器丢弃，已修产品代码并补七项解析测试。合并页面首轮受 SIGTERM 中断（143），不能视为通过，单独重跑结果另记。

• 保留生产边界：未提交/推送/部署，未触碰真实单据/账户；六个 view_all 与审批角色不变，不能宣称经理只能看相关报销。退回留痕删除含新增迁移，旧镜像可能重新显示留痕删除记录，不能复用“无迁移、只改权限”旧例外。

• 主会话执行本地自审与自动验证；独立只读 reviewer 未执行。下一步先复核两份独立补丁，再按明确授权分别提交、冻结统一候选、重新发布预检和部署后自动验收，不交给员工发现基础缺陷。

联调发现并已修：共享下载客户端只解析 filename，忽略 filename*，导致服务端中文名仍被 ASCII fallback 替代。现优先解析 UTF-8 扩展名；损坏编码、不支持编码、空值回退原 filename。新增 7 项客户端解析回归，已通过。付款路由/BIFF8 93 项通过；最终浏览器和合并验证见本节记录，本地通过不代表已发布。

用户批准本轮报销/付款改动全部完成、合并验证后再部署。付款在独立副本实施，基线 e5685f1，不混入退回删除的迁移。既有历史阶段不代表当前发布状态。

1. 中文制单文件名、无手填理由的敏感下载确认、操作卡下方处理进度。
2. 制单独立请求合同允许省略原因；旧客户端真实填写的原因仍保留，系统用途及来源独立记录，不伪造用户原因。
3. 路由、BIFF8、桌面/移动浏览器定向回归，再与退回删除合并做隔离数据库全链验证。
4. 独立复核、提交和发布尚未完成；生产动作另行授权，不以员工正式业务代测。

2026-09-08 获批技术执行

1. 检查 CLI/项目/npm 稳定版本及官方 update dry-run；保留现有定制，稳定通道无新版则不切 beta、不强刷文件。
2. 从业务先后、身份权限、资料安全、状态一致性、模板兼容、运行依赖、失败重试、部署边界八方面审查计划与实现。
3. 先运行付款 readiness、公司账户、复核/执行、BIFF8、审批退回相关定向单测；浏览器仅运行本地合成的付款路径，不运行已挂起的合同/真实账号全链用例。
4. 发现影响本业务的具体代码缺陷先用最小失败用例复现，再修复并回归；只缺生产资料的项目不冒充代码故障。仅存在覆盖缺口则补针对性验证，不宣布实际业务已完成。
5. 输出已修技术项、仍须真人操作的数据项、未验证生产项；只读复核由用户完成，不派代理，不自动提交或部署。

证据根目录：artifacts/qa-flow/reimbursement-payment-closeout/technical-review-20260908/。开始前完整 Git 状态、tracked 摘要、未提交 diff 和 index diff 已保存；既有 AP 修订/其他 task 不回滚、不混报。

技术阶段结果（本地完成，待用户复核，不等于业务完成）

2026-09-08 追加单字段生产授权

用户在“另行批准只补 0014 归属人的主体；银行资料由授权管理员直接录系统”之后回复“同意，批准”。本次仅执行 0014 归属人 legal_entity_id 从空值关联当前唯一启用未归档主体；不扩展为银行资料写入、解密、提交、推送、部署或真实付款授权。

只读预检通过：0014 唯一、approved 且未付、归属人是已确认 majianyong、角色 ceo+employee、主体字段为空、无付款批次项占用、目标主体唯一。员工 UPDATE 触发器/规则摘要与前次已审单字段修正一致。生产仍为 f223bfb。执行时再次锁定核对身份/状态/原值/目标摘要，条件更新恰好一行，再提交并以独立连接只读回读；失败不自动重试，提交状态不明时不宣称回滚。

证据目录：artifacts/qa-flow/reimbursement-payment-closeout/legal-entity-correction-20260908/。脚本仅读取身份与状态必要字段，不读取金额、票据、银行字段或真实密钥，输出脱敏核对结果。

执行结果：2026-09-08 北京时间 22:30，PASS_APPLIED_AND_READBACK；条件更新 1 行，原值为空，独立连接回读与获批主体一致，角色保持不变。仅更新 employees.legal_entity_id，不改单据、批次、银行字段或审批关系。个人银行资料当前是否补齐未重新查询，不宣称财务已可组批或付款。语法检查、task validate、治理及 diff 检查通过；主会话自审，不冒充独立人员复核。回退需要另批，且应以本次目标值为原值进行条件检查，不自动清空。

• Trellis：CLI/项目均为 0.6.16，npm 的 CLI/core stable latest 同为 0.6.16；beta 为 0.7.0-beta.3，不切预发布通道。按官方 upgrade --dry-run 和 update --dry-run 核验，无稳定版本升级；11 个项目定制文件保持原样，没有执行 force 覆盖、全局安装或改模板哈希。记录见 trellis-registry-tags.json、trellis-core-registry-tags.json 和两份 dry-run 日志。
• 八角度规划审查已完成并写入 design.md 第 7 节：业务先后、角色、资料隐私、操作顺序、格式、运行环境、失败重试、发布/银行授权。保留单据资料与技术问题的区分，不批量回填、不扩大角色或付款规则。
• 确认并修复一项界面顺序债：已复核且可制单、尚未生成且无回单的详情优先下载，生成后转上传回单；手工付款用户仍可在更多直接上传，已有回单仍可登记。使用既有样式/动作模型，运行时仅 client/src/pages/PaymentBatchesPage.tsx 一个文件新增变化；前后端权限、付款接口、审批及数据库均未修改。
• 先补断言再修：browser-red.log 明确复现首个下载动作被隐藏，1 条失败；该失败发生在登录成功后的动作断言，不是认证/网络前置。后续桌面/移动端测试实际收到了合成 .xls 文件，核对文件字节、原因/取消、重下载警示和不触发付款，且通过真实 filechooser 保留手工上传路径。
• 后端最终 9 文件 158/158 PASS（backend-verified.log），包括 readiness、付款账户、复核/执行/回单/导出、报销提交与退回通知、CEO/经理解析及新增的独立 BIFF8 逐列读回。新增 readback 初次因测试直接访问未配置的第 15 列宽触发 KeyError；改用 xlrd 的有效列宽 API 后通过，保留诊断日志，不当作生产缺陷。
• 浏览器同一最终源码的 16 条目标用例全部已覆盖通过，分两次完成：browser-final.log 为 13 PASS + 3 因本地 Vite 退出导致登录连接拒绝而未能执行；未改代码/断言，恢复同源服务后仅补跑这 3 条，browser-boundary-rerun.log 为 3/3 PASS。不是一次 16/16 全绿；自动 retries 始终为 0。之前 browser-payment.log 的 2 条失败是新增合成文件 helper 在 ESM 中误用 require，改为 createRequire 后通过，不混入业务缺陷清单。
• 本地环境前置：全新 context、原生在线采样 true、无 cookie、表单可见、监听 refresh=0，不安装 route mock；见 browser-environment.json。随后用例 API 均为合成 mock，不能冒充真实后端端到端或生产账号验收。Vite 中途退出原因未进一步归因；补跑把服务与测试绑定在同一受控 shell 生命周期，结束自动停止，未改全局诊断 harness。
• 当前生产容器 f223bfb 的纯合成制单探针 PASS（runtime-synthetic.json）：内置模板摘要、BIFF8/3 sheet/15 列、表头、前导零账号文本、01 行别、金额均由独立 Python 读回确认。使用独立合成密钥与资料，不访问 DB、不读真实银行数据、不用真实密钥、不调用正式导出接口、不落制单文件；不代替真实账户解密或网银验收。
• npm run typecheck、独立 artifacts 目录 vite build、task validate、Trellis governance、process contract、git diff --check 均通过。文档注册检查通过但保留既有 1 项 warning（22 个未登记文档），构建保留既有 Browserslist 陈旧提示，不升级无关依赖。
• 范围核对 scope-check.json：相对本轮开始只改变 4 个已跟踪文件（付款页面、两份测试、前端规约），外加当前未跟踪 task 文档；既有 AP 包及其他 tracked 改动摘要不变，index 不变。原始 input 和归档截图没有写入，不提交/推送/部署，不更新生产资料。新动作顺序尚未上线，线上仍可使用既有更多中的制单入口。
• 桌面和移动端截图已主会话查看，确认主动作切换使用既有区域、人工路径保留；它们是合成页面，不是生产截图。本轮是主会话多角度自审及验证，不冒充独立人员复核；用户可审 technical-code.diff 和本 task。

复验命令

trellis upgrade --dry-run
trellis update --dry-run
cd server
PAYMENT_ORDER_PYTHON_BIN=<既有固定BIFF8虚拟环境解释器> npm test -- tests/unit/services/paymentOrderXls.test.js tests/unit/services/paymentBatchReadiness.test.js tests/unit/services/paymentProcessingProgress.test.js tests/unit/routes/paymentBatches.reimbursement.test.js tests/unit/routes/paymentAccounts.test.js tests/unit/routes/reimbursements.payment-batch-gate.test.js tests/unit/routes/reimbursement.submit-side-effects.test.js tests/unit/utils/workflow.test.js tests/unit/routes/workflow.return-notifications.test.js
cd ../client
npm run typecheck
./node_modules/.bin/vite build --outDir ../artifacts/qa-flow/reimbursement-payment-closeout/technical-review-20260908/build
PAYMENT_ORDER_PYTHON_BIN=<同一解释器> E2E_MODE=local E2E_BASE_URL=http://127.0.0.1:23121 ./node_modules/.bin/playwright test tests/e2e/system-action-confirmation.spec.ts --grep '付款|回单|制单|移动端固定操作区' --workers=1 --retries=0 --trace=on --reporter=list --output=<独立结果目录>

最后三条补跑使用同一 spec 与参数，仅 grep 改为“只有超级管理员职责|兼任付款复核职责|回单查询失败”，服务生命周期与测试同一 shell 管理。针对性结果不抵扣 58 条清单，也不充当 R1 所需完整候选全绿耗时。

优先级/工作包	主责	动作	结束判据	当前状态
P0 0014 付款资料解阻	执行端核对，用户批准，管理员录资料	主体已单独获批补齐并回读；管理员录真实收款银行/卡；获准检查公司付款账户可用性	实际财务页面不再因这些缺项禁用，其他 readiness 阻断如实列出	主体已补；银行资料与完整 readiness 未验，不宣称可付款
P0 三张退回单重提	majianyong，实际审批人	按退回理由逐张修改重提并实际审批，不代操作	每张有重提/审批结果或具体缺项，付款进度另算	待本人操作
P1 付款复核与 .xls 制单	wangzhiling，合格非制单复核人	财务组批，实际独立复核，填写原因下载模板制单；必要时先跑合成回归与获准运行时预检	reviewed 后成功生成同模板 .xls；未复核拒绝；无敏感日志	既有功能，真实闭环未验
P1 银行付款与回单	用户指定的银行操作人，财务	网银导入核对、银行批准执行、回单核对、系统登记	实际银行结果与系统付款状态/回单一致	尚未付款；操作人待实际指定
独立 AP 发布收口	执行端，用户批准	仅已审 AP 增量提交/推送、新候选、时效与漂移复核、单独授权部署	正确新版本及 AP 角色矩阵验收	复核通过，未提交/部署，不阻塞以上资料整理

本轮完成的准备

• 阅读 input 中三份制单 xls 的结构；空白模板与内置模板字节相同，均为 3 sheet/15 列合同，两份已填样例表头一致。未输出真实数据、未修改原件。
• 确认现有 reviewed 后制单功能、财务导出守卫和导出审计；相关功能文件相对生产基线 f223bfb 无 Git 差异。不把源码存在当作生产成功生成或银行导入通过。
• 新建一个业务闭环 planning task，复用旧付款准备包/已完成制单实现/AP task，不一次拆出多份待实施任务，不启动产品开发。

汇报纪律

后续只按“0014 是否可组批/已复核/已制单/银行已付/回单已核”“三张单各自是否重提/审批”汇报。维护业务进度与部署进度两个独立判断，不以文件数、测试数或已通知代替业务结果。

暂停项

全员主体回填、新员工自动关联、工资/公积金业务扩展、银行自动付款、六个 view_all、58 条红项、阶段 B、R1 均不进入本轮实施。

2026-09-09 综合审查后的后续任务规划（待批准，不扩展本 task 实施范围）

本节按用户要求综合主会话三视角审查与外部审查建议，复用当前记录保存后续独立任务清单；不批量新建 task、不自动提交/推送、部署、执行真实恢复或修改生产配置。后续新任务只在到达队首且范围获批后创建，现有任务只做经批准的方案修订。付款主线目前由用户要求等待。

业务最新证据：用户于 2026-09-09 提供财务页面截图，0014 已创建付款批次，待付款复核 0/1、银行制单未生成、报销仍待付款。证明组批已发生，不证明负责人已收到提醒、已复核、已制单或银行已付。既有“资料待补/尚未组批”是此前历史状态，不再当作当前阻断；本节未查询生产。

规划裁决

• 恢复验真改用受控人工最小路径，不继续叠加安装器/runner。不能把 Attempt 3 非零且底层原因未知归结为已证实工具故障，也不能认定备份损坏。
• “数据库还原并数表”只回答该批次数据库能否恢复，不代表附件、应用启动、正式切换或完整灾备能力。恢复目标隔离、合法管理员通道、批次身份/完整性、失败诊断和精确清理不得删除。
• 统一待办上调为跨模块业务交接任务，不再仅作为页面文案优化。既有依据为 09-05 错误解释 task implement §12、09-06 付款观察 task design §3；当前没有已批准的独立统一待办实现任务。
• 2026-10-05 距当前 2026-09-09 为 26 天。错误基线有 673 条指纹记录、695 次调用、73 个文件；不是 673 个已确认缺陷。清单分流现在启动规划，不等恢复/seed/待办做完；实施按独立提交单元排队。
• 不承诺“一个下午必成功”；第一次最小恢复以一个有界操作窗口为目标，遇失败收集脱敏原因并停止，不在现场加装置或自动反复尝试。

队列与验收合同

工作包	Trellis 归属	范围/交付	完成判据与停止边界
T0 两笔已审改动收口	复用 09-07-manager-ap-access-scope 与本 task	按路径拆 AP 与付款按钮/制单测试两笔，分别引用 task；在 AP 包内纠正 task.json 的“保留 CEO 财务读取”陈旧摘要；分别记录代码/发布/业务验收/等谁	不漏既有文件、不混其他 task；提交、推送须明确批准，部署另批；必要复验针对各自增量，不批量归档。不以 Git 暂存路径隔离冒充 worktree 物理隔离
T1 最小正式备份恢复验真	修订 08-23-isolated-backup-restore-drill，保留原历史 AC	ARM 已获准管理员通道，读取执行时最新正式备份；一次性无宿主端口 PG16，使用现有 restore-db.sh；先形成数据库结果，再单列配对附件结果	批次身份/摘要/新鲜度核验；目标非生产且无生产数据库连接；恢复命令全程退出 0、源 migration 对照及既定关键表可读；附件需另验解包/引用/适用摘要。DB PASS 不关闭原整体 task；任一失败保留阶段与安全原因，清理仅本轮目标，不删正式归档
T2 日常发布与初始化分离	待新建独立 existing-deploy-seed-separation task；关联 09-05-existing-deploy-db-lifecycle-isolation	保留 initialize 的初始化能力；existing 不再无条件运行覆盖既有配置的 seed；确有升级数据变更时走明确版本化步骤	合成库验证 initialize 可用、existing 不改管理员既有配置、重复发布语义稳定、缺配置有明确停止/补救路径；迁移、配置版本、旧版本兼容与回滚边界明确；既有 DB 生命周期隔离回归不退步。先验证再改变默认发布路径，真实部署另批
T3 统一业务待办投影 MVP	待新建 reimbursement-payment-todo-projection task；复用 09-06 观察记录	首批仅报销退回补改、财务待组批、付款待复核、复核后财务制单/付款登记四类；既有业务状态为事实源，复用待办/首页/通知能力，不建第二套审批引擎	接收人不用口头转述即可从工作台找到本人的下一步，数量与明细一致、深链有权可达；制单人不自审、不扩 AP 读取；处理后消除陈旧待办，通知失败不丢待办且有可观测重试，重复刷新/投递不重复任务。正式通知和真人流程另批；缺失交接样本保留未验，不用管理员代验抵扣
T4a 员工业务就绪检查	待新建 employee-business-readiness task	能登录/能提交/能付款分阶段检查；解释缺项、维护责任与入口，复用现有审批解析/readiness，不另造一套判定	覆盖负责人兜底、普通员工、缺经理、缺主体/银行卡、无权限维护、smoke 排除；不在入职时强收银行资料，不自动回填真实记录，不为补资料扩大财务权限
T4b 职责与数据范围表	先做设计交付，关联 AP task；实现单独定范围	按已确认真实账号列审批/复核、全量读取、资料维护、付款执行四类能力；明确 view_all 未决项	用户逐项裁决；保留 CEO 审批路由、多角色权限并集及现有合法业务上下文。没有业务裁决不改六个 view_all，不摘角色，不以任务完成声称全部数据范围已收窄
E 错误豁免到期分流	复用 09-05-error-explainability-payment-readiness，新增经批准的后续阶段	现在按文件/调用指纹列“本期迁移/有理由延期/已失效待核销”，指定责任人与各自验收/复审日期	保留首批主链路不得豁免、新旧调用结构校验、到期失效规则；延期逐模块审查并保留原到期日与原因，不批量改日期、不删规则凑绿；不能把目录删除或无命中直接当豁免已解决

T0 是新增代码工作的前置；T1 数据库路径获成功证据后推进 T2，配对附件仍作为独立恢复缺口保留，不能用 DB PASS 自动授权 T2 生产发布。T1 若有未解释的恢复非零，不以“时间已到”越过风险继续生产部署。T3 的已发生交接证据整理、T4b 职责设计和 E 分流可与 T1 规划并行，但主会话不派实现/检查代理，不在当前脏树叠加第三笔产品改动。T2 本地实施通过后，T3/T4 按业务价值排队，不要求所有基础任务整体归档才允许业务规划前进。

T1 最小操作与保留保障

使用 ARM 现有正式归档与已有合法管理员操作路径，不把真实备份下载到开发机，不用生产容器作为恢复目标，不新增 sudoers 或修改目录权限。执行前确认资源余量、唯一批次、manifest 配对、大小/摘要、备份年龄和 PG/来源版本；创建本轮专用影子库、只挂载该批次只读数据或使用 stdin、无宿主端口，不挂生产数据卷，不启动 OA/worker、不执行迁移或 seed。

先独立确认数据库目标就绪并符合 restore-db.sh 的 shadow/名称确认门禁，执行既有恢复脚本，检查其退出码及源 migration/关键表可读性。表计数仅为一致性线索，不能代替完整恢复退出状态或凭空声明与生产逐表一致。若只完成数据库，结果明确写 DB_RESTORE_PASS、STORAGE_NOT_TESTED、APP_NOT_TESTED；附件完成后才补相应状态。原任务完整验收不被这项缩小后的实验替代。

操作保留简短脱敏回执：批次指纹、开始结束时间、数据库结果、附件结果、失败阶段/可安全提取的原因、清理结果。不强制新增 RTO 分段框架；不删除原正式演练要求，相关指标未测就保留未测。原始敏感错误仅留受控位置按既有隐私规则处理，清理前形成安全诊断，避免重演 Attempt 3 丢失原因。精确清理本轮一次性容器/卷/临时数据并回查，不清理旧镜像备份、正式归档或未知对象。

T3 输入边界

目前只确认资料已补且财务成功组批，并观察到后续操作需通过聊天指引；尚未实际观察 majianyong 是否从现有待办/消息找到复核、复核后财务是否收到交接。三张退回单的“本人未处理”不能单独证明没有发通知。规划阶段分别核对业务状态投影、接收人解析、通知创建/投递和消息深链，不把四类不同故障预先合并成同一个已证实代码缺陷。已发生样本先定合同，后续样本用于补验，不伪造、不中断当前真人流程抓证据。

E 初步模块分流与建议日期（待批准，不是已承诺全部迁移）

• 优先审查名单：auth/users/employees（登录与员工资料），workflow 路由及解析（审批人/退回），paymentAccounts/AP（付款资料和权限），todos/notifications/portal（交接可解释性），invoicePool（报销票据主链路）。按具体仍为 legacy 的调用选高频阻断，不重复迁移已覆盖的报销/付款主链路，也不假设这些模块的全部调用都必须本期完成。
• 次优先核对：采购/差旅、部门与主数据、预算/项目、合同；根据当前真人使用和变更范围决定迁移或有理由延期，不能仅因调用数大就统一延期。
• 其余模块：逐文件列剩余指纹、业务影响、现有兜底、责任人、拟新日期与理由后交审；低频或暂未使用需有依据，不把工资/绩效/资产等默认判定无人使用。当前仅形成模块初分，没有修改任何豁免。
• 建议 2026-09-11 前完成 73 文件全量处置清单；09-18 完成首批高频调用的迁移与定向验证；09-25 复审剩余容量和延期理由；09-30 前完成逐模块延期裁决；10-02 做一次剩余到期项检查。不得等到 10-05 才改日期。
• 当前门禁以 UTC 日期判断 expiresOn <= today 即失效，因此 2026-10-05 00:00 UTC（北京时间 08:00）即触发该日期的到期项，不按北京时间当天午夜前仍有效来安排。全部 673 条同日到期属于计划风险，不等于当天线上功能会自动停用。

明确不做

本轮不执行提交/推送/恢复/部署，不改变任何账号或真实银行资料，不自动发送通知或审批/付款；不增加通用 workflow 引擎、全站重设计、微服务、大文件专项重构、全员主体回填；58 条红项、合同阶段 B、R1 仍暂停。独立任务规划不改变当前付款 task 的业务完成判据，也不授权把其余改动顺带提交。

2026-09-09 综合规划批准后的首批本地执行

用户回复“开始实施”，综合规划的本地工作进入执行。审批、真实付款仍按用户要求等待；此次未获得提交/推送、ARM真实恢复或部署的单独授权，不将开始实施扩大解释为这些操作。

• T0：AP和付款建立两个独立detached交审副本，另一个ops-preparation副本仅维护原恢复task及错误解释task的准备文档。不是新开第三笔产品开发；原工作树保留，未重置或覆盖已有改动。
• 付款副本仅包含4个已审tracked文件和本task；未包含AP撤权差异。后端9文件158/158通过，使用已有固定BIFF8环境，无安装新依赖。浏览器未重新运行，不把此前13+3分轮证据改成新的同轮通过。
• E：673指纹/695调用/73文件逐项对上当前源码，原expiry和门禁不改；全量清单在独立准备副本的原错误解释task implement §13。16文件优先审查、25文件业务影响复核、32文件逐模块审查延期理由；未逐调用完成业务裁决，未批准任何延期，也未迁移新原因码。
• T1：独立准备副本内修订原恢复task的最小人工操作阶段，复用3份既有恢复/校验脚本，保留正式演练AC；没有创建新runner、修改sudoers、连接远端或读取真实备份。
• T2/T3/T4未开新的代码任务，既有58条、阶段B、R1不动。原因码分支迁移尚未开始，不能以“清单完成”宣布技术债清零。

代码	发布	业务验收	等谁
付款按钮/制单验证已审，独立副本已隔离复验	未提交/推送/部署，线上仍是既有更多入口	用户截图确认0014已建批；待复核0/1、制单未生成、未确认付款	业务按用户要求等待；技术先等两笔提交的明确授权

证据根为原主工作区 artifacts/qa-flow/project-roadmap-execution-20260909/。提交建议标题：fix: 优先引导下载银行制单（09-08-reimbursement-payment-closeout）；不自动提交或把其他准备文档混进这一笔。

2026-09-09 提交与推送授权

用户对“AP 与付款修复分两笔提交并推送，不部署、不执行真实恢复、不混入后续准备文档”明确回复“是”。本次只提交本 task 对应已隔离交审文件及当前授权记录；原恢复 task、错误豁免后续阶段和另外两个未跟踪 task 不进入这两笔。实际提交 SHA 与远端结果以 Git 回执为准，不提前宣称 push 成功；生产仍未部署，业务验收状态不随提交改变。

2026-09-09 后续工作执行顺序（按已确认选票流程更新规划）

本节为最新规划，旧阶段结果保留；已确认付款独立复核和制单下载，不确认实际付款。当前只更新已有 task 需求与设计，没有创建 task、改代码、运行产品测试或部署。

• 收口用户取向：报销制单中文名；首次/再次不强制手填理由但保留确认与审计；处理进度右移；退回单可以删除后新建；验证由执行端承担。
• 将删除阶段归入 09-04-reimbursement-state-gap-finance-view，将“选票自动生成明细并关联”归入 08-29-reimbursement-expense-policy-invoice-guard，付款优化留本 task；对应 PRD/design/implement 同步。明确替换旧手工关联方案，不新建 task。
• 综合方案确认后，先为第一批补齐存储/绑定接口设计与隔离端到端夹具，复现两个原始阻断；评估是否涉及迁移，不默认免迁移。
• 第一批在干净副本实施：退回单删除留痕与发票占用释放、选票自动生成明细并关联及已有明细直接加票；验证所有旧状态的拒绝边界，核实真实腾讯 OCR，异常不交给员工发现。
• 并行准备部署后专用合成测试条件；缺失项由执行端列出具体配置和授权请求，不调用真人单据或凭据。
• 第一批完成真实后端角色链、桌面/窄屏验证及只读交审，取得明确提交推送授权后收口；不把另一批产品变更叠入同一脏树。
• 第二批按已确认付款方案实施中文名、独立下载原因合同和布局；完成文件内容/审计/权限/布局回归及本批交审。若第一批遇真正外部阻塞，第二批可在独立副本提前完成，不扩大范围。
• 每批冻结候选并提出发布方案，附可执行的部署后自动检查；部署另批，上线后由执行端运行验证、报告失败与回滚建议，必要回滚按具体授权执行。
• 功能交付后回到统一待办投影；同期维护原错误豁免截止日队列，不批量归档或延期。

首个实施动作明确为“用空报销合成数据复现发票顺序问题，并核查退回删除事务/材料关系”，不是继续生产清理或让 majianyong 再尝试一次。主工作树在旧基线且有治理差异，执行副本须从最新 origin/main 核验建立，按任务登记分批文件清单与测试命令。

2026-09-16 发布后后续执行

最新已上线候选842c61e69645b2c753b41593686701854e25ea3a，树831557fd8f5c26445bd66eef574332eb8314fe59。R2独立内容审查通过后已按批准提交、推送、重新预检和部署；公网只读/运行身份验收通过，数据库未重启、.env未覆盖。证据归artifacts/qa-layout/error-explainability-r2-release，不能再将下方09-15历史“未提交/未部署”当当前事实。

用户要求继续后续工作，本轮先在09-05补复核低级发现对应的动态错误负载/白名单契约/无效时间反例，只有测试和执行记录修改，线上版本不变，未自动提交或部署。原09-04两文档及统一审批中心三处旧差异保持隔离。

接续批次已增加四域日期输入严格校验及明确北京时间的催办提示，当前变更不再仅测试/记录。最终12文件526/526及前端typecheck/build、原因码和流程治理通过；详细范围与未覆盖消费者见09-05本日记录。交审包calendar-contract-review-20260916-r1待独立内容复核，不沿用上一轮R2通过结论；未提交、未部署，线上仍842c61e6。其余需要真实对象/专项授权的C/E/F不通过修改测试造完成记录。

仍待项：A历史task全量验收映射不以祖先关系替代；B真实通知送达与E自然回单不制造业务；C同源DB+附件+应用恢复仍未实测完成，08-23中固定历史源方案待专项批准，不能将本次部署批准当恢复授权；F密钥来源UNKNOWN保留且不再向用户索取密钥。D共享日期/时区、其他域遗留原因与扩展票种仍按既有期限逐项治理，不统一延期。镜像归档完整性不是恢复演练，当前部署通过不自动关闭上述事项。