完善公共基础接入与全局审计闭环

.scratch/tech-global-audit/PRD.md

@@ -18,6 +18,8 @@ Access Log 当前只递归脱敏请求体，响应体仍原样记录，登录 To
 
 本次切换覆盖全部现有敏感写操作：新旧业务统一使用 Audit Writer，旧账号、资产和手动轮询审计表停止新增，不双写；历史数据保留原表并通过 Query 只读投影到新审计中心。切换准备或验证失败则本次版本整体不放量，不能以局部模块继续写旧表作为中间态。
 
+“全部现有敏感写操作”以仓库级《审计覆盖基线》为可验收证据，不以七月迭代需求清单代替。基线必须覆盖所有状态变更、敏感读取、关键拒绝和失败入口，并对 Audit Event、Domain Ledger、Integration Log、Outbox 或 N/A 作出逐入口决定。
+
 ## User Stories
 
 1. 作为审计人员，我希望回答谁在什么入口对哪些资源做了什么，结果、风险和前后变化是什么。
@@ -53,6 +55,7 @@ Access Log 当前只递归脱敏请求体，响应体仍原样记录，登录 To
 
 ### 动作注册表与写入可靠性
 
+- 实现 Writer 前先完成全仓审计面盘点。每个 Handler、Application、Service、Worker、定时任务和回调入口都必须登记业务所有者、动作、资源、事务边界、失败策略和确认测试；N/A 必须写明理由并经评审。
 - 建立 Action Registry，定义稳定动作编码、中文名称、类别、默认风险、允许的资源类型和敏感字段规则；DTO 枚举说明、筛选项和前端名称都从同一注册表生成。
 - 至少覆盖账号/角色/权限、店铺、资产、套餐、钱包/资金、订单/退款/充值、企微、支付与系统配置、数据同步、导入导出及登录安全的本期动作。未经注册的动作不得写入生产审计。
 - 钱包余额、人工退款结果、代理钱包回退、线下充值入账、账号角色/权限、支付/企微/关键系统配置、人工卡状态、敏感店铺业务员归属及手工绑定企微审批号等成功事件必须与业务变更同事务 `AppendWithTx`；审计失败则业务事务回滚。
@@ -61,6 +64,7 @@ Access Log 当前只递归脱敏请求体，响应体仍原样记录，登录 To
 - 异步系统事件与状态变化通过原业务事务或 Outbox 可靠关联，不使用 `go func()`。Asynq/Outbox 载荷必须传递 `event_id/request_id/correlation_id/parent_event_id`。
 - `request_id` 由现有中间件生成并贯穿同一 HTTP 请求；`correlation_id` 在退款、充值、审批、钱包、卡状态等跨请求业务起点生成并贯穿 Outbox/Asynq/Integration Log；`parent_event_id` 表示直接因果，不用于替代 correlation。
 - 对全部旧审计调用建立切换清单和自动检查。发布产物中禁止继续调用旧 `account_audit/asset_audit` 写服务或直接 Create 旧日志模型；启动装配不再注入旧 Writer。
+- 系统配置更新和 Outbox 人工恢复必须在各自 Application 组合根注入正式 Audit Writer：业务事实与审计同事务，未装配或审计失败时失败关闭；不得回退到空 Adapter、临时表或裸 goroutine。
 
 ### Integration Log
 
@@ -131,6 +135,8 @@ Access Log 当前只递归脱敏请求体，响应体仍原样记录，登录 To
 - 领域/Application 测试覆盖事件不可变、多资源至少一个 primary、动作注册、风险默认值、内容哈希稳定、16KB 截断和禁止字段删除。
 - PostgreSQL 集成测试验证唯一/查询索引、关键业务与 Audit Event 同事务、审计写入失败回滚、失败/拒绝短事务、重复事件幂等和资源时间线。
 - 对账号、角色权限、资产、套餐、钱包、退款、充值、配置、导入导出、登录安全和手动同步建立切换清单；自动测试或静态检查证明生产装配不再调用旧 Writer，旧三表发布后无新增。
+- 覆盖基线测试或静态检查证明仓库内全部状态变更、敏感读取、关键拒绝和失败入口均已分类；新增敏感入口未登记、动作未注册或 N/A 缺少理由时门禁失败。
+- 公共基础 Adapter 集成测试覆盖系统配置更新和 Outbox 人工恢复的成功同事务、审计失败整体回滚、敏感值不落库、恢复原因与批次留痕以及生产组合根装配。
 - 历史投影测试使用旧账号/资产/手动轮询样本，验证 `UNION ALL` 的字段映射、确定性历史键、分页排序、`record_source` 和新旧交界时间无重复/漏项。
 - Integration 测试覆盖 outbound 成功/失败/响应未知、inbound 回调、未发送的 merged/rate_limited/completed、同序列 0/3/5、状态变化关联 Audit Event 和重复回调。
 - Access Log 测试覆盖嵌套 JSON、数组、非 JSON、登录/Token、支付/企微/运营商回调、上传下载和响应体，证明 Token、Secret、操作密码、签名 URL、Authorization、Cookie 等不落盘且 50KB 生效。
@@ -154,6 +160,7 @@ Access Log 当前只递归脱敏请求体，响应体仍原样记录，登录 To
 ## Further Notes
 
 - 用户已明确确认一次性全局切换，覆盖标准稿中的“旧写停止、不双写、历史只读投影”口径；这不是可由实现阶段改回渐进双写的建议项。
+- 全系统覆盖由 `00-full-audit-surface-inventory.md` 建立基线，系统配置由 `20-system-config-audit-adapter.md` 接入，Outbox 恢复由 `21-outbox-recovery-audit-adapter.md` 接入，最终统一由 19 号票验收；后续业务 PRD 也必须增量维护该基线，不能把“公共审计已完成”理解为新业务自动获得审计。
 - 当前已核实旧账号/资产审计使用裸 goroutine，Access Log 响应体未脱敏；这两项是发布前必须消除的现存缺陷。
 - 当前手动轮询日志兼做进度存储，切断旧表时必须先由公共异步任务状态承接，不得违反 UR#94“轮询管理外部行为保持现状”的确认结论。
 - 本需求较大，进入实现前应依据本 Spec 拆成可独立验证的纵向切片，但不得按“先建表、再 Service、再 Handler”的水平层级拆分，也不得改变一次停机切换这一最终发布门禁。

.scratch/tech-global-audit/issues/00-full-audit-surface-inventory.md

@@ -0,0 +1,18 @@
+# 00 — 建立全系统审计面与公共能力决策基线
+
+**What to build:** 对整个现有系统而非仅七月迭代执行一次可复核的审计面盘点，形成动作注册表输入和机器可检查的覆盖基线。每个状态变更、敏感读取、关键拒绝或失败入口都必须明确 Audit Event、Domain Ledger、Integration Log、Outbox 的使用决策或给出不适用理由，后续需求以此基线增量维护。
+
+**Blocked by:** None — can start immediately
+
+**Status:** ready-for-agent
+
+**架构通道:** 主通道为 Infrastructure 治理，辅助通道为 Query 验证。
+
+**完整业务边界:** 本票收口 Handler、Application、Domain、Service、Worker 和回调入口的全仓审计分类、动作编码、事务策略、资源关系、失败策略和测试责任人。明确不迁移任何业务代码、不改变已评审业务规则、不把 Access Log、Audit Event、Domain Ledger 和 Integration Log 合并。
+
+- [ ] 盘点全部 HTTP/Worker/定时任务/回调入口，至少覆盖创建、修改、删除、状态流转、资金、权限、关键配置、导入导出、人工恢复、敏感读取、拒绝和关键失败；记录代码入口与业务所有者。
+- [ ] 每个入口明确 `Audit Event / Domain Ledger / Integration Log / Outbox / N/A` 决策；选择 N/A 必须写明原因，禁止空白或“以后处理”。
+- [ ] 对需要审计的入口填写稳定动作编码、中文名称、风险、主要及受影响资源、操作者与来源、前后数据、事务边界、失败策略和自动化测试接缝。
+- [ ] 建立可被静态检查或测试读取的动作注册与覆盖基线，未经登记的新敏感操作不能通过发布门禁。
+- [ ] 对旧账号、资产、手动轮询 Writer 及全部直接写旧日志表的位置建立准确清单，作为 04～09 迁移票和 19 号切换票的输入。
+- [ ] 更新《审计覆盖基线》，经业务、研发和安全评审确认不存在未分类入口；评审只确认覆盖与分类，不借机扩大各业务 PRD 范围。

.scratch/tech-global-audit/issues/01-audit-event-write-loop.md

@@ -2,7 +2,10 @@
 
 **What to build:** 业务用例可以通过统一 Audit Writer 写入不可变、多资源、可串联且默认脱敏的审计事件。成功事件能够与业务事实共用事务，失败或拒绝事件使用独立短事务保留；未注册动作、缺少主要资源或审计写入失败时按明确策略阻止错误事实落地。
 
-**Blocked by:** `.scratch/tech-public-foundation/issues/01-public-migration-ownership-and-gates.md` — 01 — 建立公共迁移所有权与检查门禁
+**Blocked by:**
+
+- 00 — 建立全系统审计面与公共能力决策基线
+- `.scratch/tech-public-foundation/issues/01-public-migration-ownership-and-gates.md` — 01 — 建立公共迁移所有权与检查门禁
 
 **Status:** ready-for-agent
 

.scratch/tech-global-audit/issues/19-one-time-audit-cutover-gate.md

@@ -4,6 +4,7 @@
 
 **Blocked by:**
 
+- 00 — 建立全系统审计面与公共能力决策基线
 - 03 — 完成 Access Log 全路由敏感信息防泄漏
 - 04 — 迁移账号、角色与权限敏感操作到统一审计
 - 05 — 迁移卡资产生命周期操作到统一审计
@@ -20,6 +21,8 @@
 - 16 — 交付审计导出与字段授权快照
 - 17 — 交付审计保留、清理和运行监控
 - 18 — 冻结审计中心跨仓前端契约与验收包
+- 20 — 接入公共系统配置正式审计 Adapter
+- 21 — 接入 Outbox 人工恢复正式审计 Adapter
 - `.scratch/tech-public-foundation/issues/12-foundation-release-gate-and-integration-contract.md` — 12 — 建立公共基础发布门禁和下游接入契约
 
 **Status:** ready-for-agent
@@ -30,6 +33,7 @@
 
 - [ ] 停机顺序明确覆盖暂停流量与 Worker、前置检查、增量迁移、权限初始化、新 Writer 装配、旧写护栏、历史对账、Worker 恢复和开放流量。
 - [ ] 自动切换清单证明生产产物不再调用旧账号/资产审计 Writer、不再直接 Create 旧三表、启动装配不再注入旧 Writer；旧表意外新增会立即告警或失败。
+- [ ] 《审计覆盖基线》的全部入口均已分类且无空白项；所有 Audit Event 动作已注册，所有 N/A 均有评审理由，系统配置更新和 Outbox 人工恢复已装配正式 Audit Writer。
 - [ ] 门禁覆盖关键业务与审计同事务、审计失败回滚、失败短事务、Integration 结果未知、历史新旧交界、Access Log 敏感矩阵和权限隔离。
 - [ ] Query 性能验证常用过滤使用索引、无 JSONB 全表模糊扫描、无资源/操作者 N+1，并满足项目 P95/P99 目标。
 - [ ] 任一迁移、旧写清单、样本对账、事务、安全、权限、性能、监控或跨仓验收失败均在开放流量前整体终止发布，不能让局部模块继续写旧表。

.scratch/tech-global-audit/issues/20-system-config-audit-adapter.md

@@ -0,0 +1,20 @@
+# 20 — 接入公共系统配置正式审计 Adapter
+
+**What to build:** 在系统配置更新的 Application 组合根注入正式 Audit Writer Adapter，使关键配置变更进入统一 Audit Event，并按公共基础已经确认的事务边界失败关闭。由真实全局审计替换公共基础的未装配占位，不创建临时审计表或旁路 goroutine。
+
+**Blocked by:**
+
+- 01 — 交付不可变 Audit Event 写入闭环
+- `.scratch/tech-public-foundation/issues/08-controlled-system-config-update.md` — 08 — 交付系统配置更新、权限和审计闭环
+
+**Status:** ready-for-agent
+
+**架构通道:** 主通道为 Application + Port/Adapter，辅助通道为 Infrastructure。
+
+**完整业务边界:** 本票仅收口公共系统配置更新既有用例的正式审计装配、事务一致性、脱敏和测试。明确不新增配置 Key、不建设配置前端页面、不迁移其他业务审计。
+
+- [ ] 注册系统配置更新的稳定动作编码、中文名称、风险等级及允许资源类型，并写入全系统审计覆盖基线。
+- [ ] 系统配置更新的业务事实与 Audit Event 使用同一 GORM 事务；审计失败时配置更新回滚，敏感配置只记录“是否配置”和安全摘要，不记录原值。
+- [ ] 组合根显式注入正式 Audit Writer Adapter；未装配时失败关闭，禁止回退到空实现、旧审计表或裸 goroutine。
+- [ ] PostgreSQL 集成测试覆盖成功同事务、审计失败整体回滚、敏感值不落库和未装配失败关闭。
+- [ ] 发布检查能证明生产组合根已装配正式 Adapter，并由 19 号一次性切换门禁纳入停机演练。

.scratch/tech-global-audit/issues/21-outbox-recovery-audit-adapter.md

@@ -0,0 +1,20 @@
+# 21 — 接入 Outbox 人工恢复正式审计 Adapter
+
+**What to build:** 在 Outbox 人工恢复的 Application 组合根注入正式 Audit Writer Adapter，使每次受控恢复完整记录操作者、原因、批次和状态变化，并与恢复事实同事务失败关闭。由真实全局审计替换公共基础的未装配占位，不创建临时审计表或旁路 goroutine。
+
+**Blocked by:**
+
+- 01 — 交付不可变 Audit Event 写入闭环
+- `.scratch/tech-public-foundation/issues/04-outbox-observability-and-recovery.md` — 04 — 提供 Outbox 监控和受控恢复能力
+
+**Status:** ready-for-agent
+
+**架构通道:** 主通道为 Application + Port/Adapter，辅助通道为 Infrastructure。
+
+**完整业务边界:** 本票仅收口 Outbox 人工恢复既有用例的正式审计装配、事务一致性和测试。明确不改变恢复资格与租约规则、不建设 Outbox 前端页面、不迁移其他业务审计。
+
+- [ ] 注册 Outbox 人工恢复的稳定动作编码、中文名称、风险等级及允许资源类型，并写入全系统审计覆盖基线。
+- [ ] Outbox 状态变更与 Audit Event 使用同一 GORM 事务；记录操作者、中文原因、恢复批次、事件标识及恢复前后状态，审计失败时恢复回滚。
+- [ ] 组合根显式注入正式 Audit Writer Adapter；未装配时失败关闭，禁止回退到空实现、旧审计表或裸 goroutine。
+- [ ] PostgreSQL 集成测试覆盖成功同事务、审计失败整体回滚、重复恢复裁决、有效租约不可恢复和未装配失败关闭。
+- [ ] 发布检查能证明生产组合根已装配正式 Adapter，并由 19 号一次性切换门禁纳入停机演练。

.scratch/tech-global-audit/审计覆盖基线.md

@@ -0,0 +1,33 @@
+# 全系统审计覆盖基线
+
+状态：待 00 号票完成全仓扫描与评审
+
+## 使用规则
+
+本基线覆盖整个系统，不限于七月迭代。任何新增或修改的状态变更、敏感读取、关键拒绝或失败，在进入实现前都必须登记审计分类；选择不审计必须填写可评审的 N/A 理由。实现和发布评审不得只检查“是否调用了日志”，还要检查动作编码、操作者、资源、前后变化、事务边界、失败策略和测试接缝。
+
+| 业务面 | 当前迁移责任票 | Audit Event | Domain Ledger | Integration Log | Outbox | 当前状态 |
+|---|---|---|---|---|---|---|
+| 账号、角色、权限 | 04 | 必须 | N/A | N/A | 按业务事件决定 | 待盘点 |
+| 卡与资产生命周期 | 05 | 必须 | 既有资产事实 | 按外部调用决定 | 按业务事件决定 | 待盘点 |
+| 设备与资产导入 | 06 | 必须 | 导入任务/明细 | 按外部调用决定 | 按业务事件决定 | 待盘点 |
+| 店铺、套餐、关键配置 | 07 | 必须 | 既有业务事实 | N/A | 按业务事件决定 | 待盘点 |
+| 资金、订单、退款、充值 | 08 | 必须 | 必须，以领域流水为准 | 按支付交互决定 | 按业务事件决定 | 待盘点 |
+| 手动轮询与同步 | 09 | 状态变化、人工触发和异常必须 | 任务状态 | 必须 | 按可靠投递决定 | 待盘点 |
+| 系统配置更新 | 20 | 必须、同事务 | 配置事实 | N/A | N/A | 待接入 |
+| Outbox 人工恢复 | 21 | 必须、同事务 | Outbox 状态事实 | N/A | 自身为投递事实 | 待接入 |
+| 敏感值二次查看 | 15 | 必须 | N/A | N/A | N/A | 待接入 |
+| 审计导出 | 16 | 必须 | 导出任务/制品 | N/A | 按任务通知决定 | 待接入 |
+
+## 00 号票必须补齐的逐入口字段
+
+- 代码入口与业务所有者；
+- 动作编码、中文名称、类别和风险；
+- 操作者、来源、主要资源、受影响资源；
+- 前后数据、敏感字段策略和内容上限；
+- 成功同事务、失败短事务或 N/A 的理由；
+- Domain Ledger、Integration Log、Outbox 的关联标识；
+- 单元、PostgreSQL、HTTP 或静态检查的确认测试接缝；
+- 对应迁移票、发布门禁和评审结论。
+
+在逐入口清单完成并评审前，本文件不能作为“全系统已覆盖”的证明。