实现审计覆盖门禁与外部集成日志闭环

.scratch/tech-global-audit/审计覆盖基线.md

@@ -1,33 +1,59 @@
 # 全系统审计覆盖基线
 
-状态：待 00 号票完成全仓扫描与评审
+状态：源码扫描与自动分类已完成，待业务、研发和安全三方评审确认
 
-## 使用规则
+## 可复核制品
 
-本基线覆盖整个系统，不限于七月迭代。任何新增或修改的状态变更、敏感读取、关键拒绝或失败，在进入实现前都必须登记审计分类；选择不审计必须填写可评审的 N/A 理由。实现和发布评审不得只检查“是否调用了日志”，还要检查动作编码、操作者、资源、前后变化、事务边界、失败策略和测试接缝。
+- 显式逐入口清单：[`审计覆盖清单.json`](审计覆盖清单.json)，当前共 490 项。
+- 扫描范围：270 个 HTTP RouteSpec、24 个 Asynq Worker、4 个定时任务、3 个 Application 公共写入口、189 个旧 Service 公共写入口。
+- 生成入口：`go run ./cmd/audit-coverage`。
+- 发布门禁：`go test ./internal/governance/auditcoverage`。源码新增、删除或修改入口后，若未同步更新显式清单，测试必定失败。
+- 每项均固定代码入口、业务所有者、中文摘要以及待评审的 Audit Event / Domain Ledger / Integration Log / Outbox 分类候选，并预留动作、风险、资源、操作者来源、事务边界、失败策略、前后数据、敏感策略和确认测试接缝。
+- 当前 `Audit Event=N/A` 候选均填写逐入口理由；评审前不能据此宣称全系统分类已经确认。
 
-| 业务面 | 当前迁移责任票 | Audit Event | Domain Ledger | Integration Log | Outbox | 当前状态 |
-|---|---|---|---|---|---|---|
-| 账号、角色、权限 | 04 | 必须 | N/A | N/A | 按业务事件决定 | 待盘点 |
-| 卡与资产生命周期 | 05 | 必须 | 既有资产事实 | 按外部调用决定 | 按业务事件决定 | 待盘点 |
-| 设备与资产导入 | 06 | 必须 | 导入任务/明细 | 按外部调用决定 | 按业务事件决定 | 待盘点 |
-| 店铺、套餐、关键配置 | 07 | 必须 | 既有业务事实 | N/A | 按业务事件决定 | 待盘点 |
-| 资金、订单、退款、充值 | 08 | 必须 | 必须，以领域流水为准 | 按支付交互决定 | 按业务事件决定 | 待盘点 |
-| 手动轮询与同步 | 09 | 状态变化、人工触发和异常必须 | 任务状态 | 必须 | 按可靠投递决定 | 待盘点 |
-| 系统配置更新 | 20 | 必须、同事务 | 配置事实 | N/A | N/A | 待接入 |
-| Outbox 人工恢复 | 21 | 必须、同事务 | Outbox 状态事实 | N/A | 自身为投递事实 | 待接入 |
-| 敏感值二次查看 | 15 | 必须 | N/A | N/A | N/A | 待接入 |
-| 审计导出 | 16 | 必须 | 导出任务/制品 | N/A | 按任务通知决定 | 待接入 |
+生成器只负责产生待评审候选，不能自行代表评审通过。更新清单时必须核对业务语义，不能仅运行生成命令后直接提交。
 
-## 00 号票必须补齐的逐入口字段
+## 分类边界
 
-- 代码入口与业务所有者；
-- 动作编码、中文名称、类别和风险；
-- 操作者、来源、主要资源、受影响资源；
-- 前后数据、敏感字段策略和内容上限；
-- 成功同事务、失败短事务或 N/A 的理由；
-- Domain Ledger、Integration Log、Outbox 的关联标识；
-- 单元、PostgreSQL、HTTP 或静态检查的确认测试接缝；
-- 对应迁移票、发布门禁和评审结论。
+| 入口类型 | Audit Event | Domain Ledger | Integration Log | Outbox |
+|---|---|---|---|---|
+| 状态变更、资金、权限、关键配置 | 必须；关键成功与业务事实同事务 | 既有业务表仍是权威 | 存在外部调用时必须 | 存在提交后可靠副作用时必须 |
+| 失败、拒绝 | 业务回滚后独立短事务 | 不伪造领域事实 | 外部尝试仍记录真实结果 | 不为已回滚事实制造事件 |
+| 普通读取 | N/A，逐项记录理由 | 只读投影 | N/A | N/A |
+| 敏感读取、下载和导出 | 返回敏感结果前必须，自审计失败则不返回 | 业务数据仍是权威 | N/A | 异步导出按任务契约决定 |
+| 外部回调、轮询和 Gateway 调用 | 状态变化、人工触发、连续失败或高风险异常时必须 | 业务状态仍在领域表 | 每次实际或未发送尝试都必须 | 需要可靠后续处理时必须 |
+| Domain 方法 | 不直接依赖审计基础设施，由 Application 写入 | 维护业务不变量 | 由 Application/Adapter 负责 | 只记录领域事件，由 Application 持久化 |
 
-在逐入口清单完成并评审前，本文件不能作为“全系统已覆盖”的证明。
+## 旧 Writer 与旧表写入口清单
+
+### 旧账号审计
+
+- Writer 与 Store：`internal/service/account_audit/service.go`、`internal/store/postgres/account_operation_log_store.go`。
+- 生产装配：`internal/bootstrap/services.go`、`internal/bootstrap/stores.go`。
+- 调用模块：`internal/service/account/service.go`、`internal/service/agent_recharge/service.go`、`internal/service/shop_package_batch_allocation/service.go`、`internal/service/wechat_config/service.go`。
+- 已确认裸 goroutine 调用：`internal/service/agent_recharge/service.go` 1 处，`internal/service/wechat_config/service.go` 5 处；Writer 自身另启 goroutine。
+- 迁移责任：04、07、08；19 号票验证生产装配和直接旧表写入归零。
+
+### 旧资产审计
+
+- Writer、Builder 与 Store：`internal/service/asset_audit/`、`internal/store/postgres/asset_operation_log_store.go`。
+- API/Worker 装配：`internal/bootstrap/services.go`、`internal/bootstrap/worker_services.go`、`internal/bootstrap/stores.go`、`internal/bootstrap/worker_stores.go`。
+- 调用模块：`internal/service/asset/`、`internal/service/device/`、`internal/service/device_import/`、`internal/service/iot_card/`、`internal/service/iot_card_import/`、`internal/service/polling/asset_polling_service.go`。
+- 兼容读取：`internal/handler/admin/asset.go`、`internal/routes/asset.go`、`internal/model/dto/asset_operation_log_dto.go`；由 10 号票保留读取契约。
+- 迁移责任：05、06、09；19 号票验证生产装配和直接旧表写入归零。
+
+### 旧手动轮询日志
+
+- 状态与写入：`internal/service/polling/manual_trigger_service.go`、`internal/store/postgres/polling_manual_trigger_store.go`、`internal/model/polling.go`。
+- 装配与接口：`internal/bootstrap/services.go`、`internal/bootstrap/stores.go`、`internal/handler/admin/polling_manual_trigger.go`。
+- 当前仍同时承担运行状态和历史查询，不能提前停写；09 号票先切到公共异步任务与 Integration Log，10 号票提供历史投影，19 号票再启用旧写护栏。
+
+## 评审门禁
+
+以下确认尚未由本地代码执行替代，00 号票在三方评审前不得标记完成：
+
+- 业务评审：逐入口业务所有者、资源、Domain Ledger 与 N/A 理由准确，没有改变已评审业务范围。
+- 研发评审：事务边界、失败策略、旧 Writer 清单、动作编码和测试接缝能由对应迁移票落地。
+- 安全评审：风险等级、敏感字段策略、拒绝/失败覆盖和外部正文摘要策略完整。
+
+评审发现错误时应修改对应显式条目和生成分类规则，并重新运行覆盖门禁；禁止仅手改统计数字。