115 Commits

Author	SHA1	Message	Date
邹进	5cf67b98de	feat: 网关只读资产改为数据表，只读资产只允许查询类调用 ... - 新增 tb_gateway_readonly_card（卡 ICCID / 设备 IMEI）与开关 JUNHONG_GATEWAY_READONLY_ENABLED， 替换环境变量名单 JUNHONG_GATEWAY_READONLY_ICCIDS - 只读资产只放行查卡状态、查实名、查流量、查设备信息、查设备槽位、同步设备状态； 停机、复机、限速、实名认证链接与设备写操作在网关出口本地拦截；查表失败按拦截；不缓存 - 测试环境部署开启只读模式；新增技术方案与清理顺序文档 Change: add-gateway-readonly-prod-import Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-29 17:55:52 +09:00
邹进	6266cf9d86	feat: 网关只读卡名单，测试环境导入的生产卡只允许查询 ... - 新增 JUNHONG_GATEWAY_READONLY_ICCIDS：名单内的卡只放行查流量、卡状态、实名查询， 停机、复机、限速、实名认证等写操作在网关出口本地拦截、不发请求，返回明确失败 - 未配置时不生效；测试环境部署脚本配置卡 89861590172420410612 用于流量采集验证 Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-29 15:15:00 +09:00
邹进	9c3c258f16	feat: 卡流量读数先过采集队列再入账，扣减按采集时刻确定套餐 ... - 每卡 Redis 采集队列（默认 N=3、跨天清空、回退容差 1 MB），攒满且不下降才写最后一个点 - 测试环境全量切换日快照计量，下线灰度名单、切换水位与卡表基线扣费；全部卡置待建起点 - 读数区分没给值与 0；有套餐的卡读数 0 也写快照与日用量 0 行；重置日比较基准为 0 照常防旧值 - 新增采集记录（按月分区保留 90 天）、人工冲正流水与后台接口、采集告警 - 扣减按采集时刻有效套餐查找，只对生效中套餐做状态迁移，查不到套餐按成功跳过 - 换货新卡（新设备下的卡）打待建起点；采集间隔上限只校验启用中的轮询配置 Change: add-card-traffic-queue-and-observed-deduction Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-29 12:18:47 +09:00
邹进	62ec94adec	refactor: 出库时间更名为首次购买套餐时间，换货新资产不再按换货完成时间记录 ... - 字段 outbound_at → first_purchase_at，记录表 tb_asset_outbound_record → tb_asset_first_purchase_record，接口 /outbound-records → /first-purchase-records，筛选参数与导出列同步更名 - 换货后的新资产不因换货写入，在当前世代真正支付套餐订单时才记录；记录来源只保留 order / backfill，去掉换货单字段 - 迁移 000266 重命名列、表、索引与约束；同步 Spec、设计、任务与前端接口变更说明 Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-27 16:47:02 +09:00
邹进	909f4d0ec2	feat: 实名即生效套餐沉默期、延期办理与资产出库时间 ... - 迁移 000259～000265：套餐记录沉默期字段与扫描索引、套餐默认沉默期、延期政策/流水/订单/批次/明细 5 张表、默认政策与系统配置（总开关默认关闭）、企微审批白名单、卡与设备出库时间及出库记录 - 沉默期设置（订单发放、自动购包、钱包续费）、后台购买时调整（超默认值按政策免审或企微审批）、统一判定与激活闸门、排队与孤儿扫描跳过过期套餐、过期套餐禁止退款、每 10 分钟扫描 - 总开关专用接口与打开前 4 项检查；延期政策；延期资格与计费；H5 自助与后台二维码在线支付（商户池路由）、支付回调与查单恢复、线下登记、特殊/批量延期、异常重试与原路退款；沉默期审批场景与终态处理 - 换货沉默期流水与出库时间；卡/设备列表、详情、导出与出库记录接口；延期订单与即将过期套餐列表及导出；财务流水纳入延期支付 - 沉默期与出库时间回填工具 cmd/silence-backfill；前端接口变更说明 Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-27 16:32:58 +09:00
邹进	3618fc2b20	fix: 企业微信审批同步任务在已停用应用下无限堆积 ... 恢复任务每 2 分钟为未终态审批投递详情同步，已停用应用的审批同步必然失败并重试 25 次， 且同一审批单每轮重复投递，测试环境 wecom:approval 队列积压约 15 万任务，在用应用的审批结果迟迟不生效。 - 轮询与结果未知恢复只取启用中企业微信应用的审批 - 轮询投递的详情同步按审批单加 10 分钟唯一性锁，最多重试 3 次 - 应用不存在或已停用时同步任务直接结束不重试 - 恢复定时任务加唯一性，队列拥堵时不再堆积重复恢复任务 Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-26 11:16:33 +09:00
邹进	7ddb9312e3	feat: 不轮询清单与批量开关轮询 ... - 新增不轮询清单 tb_card_polling_pause（迁移 000256 补写存量），所有改 enable_polling 的入口同事务写清单 - 卡、设备勾选批量开关轮询（单次 500，逐项结果，开启跳过风险停机与已销户）与 CSV 文件导入 - 订单套餐生效、改有效期后自动恢复轮询并按规则评估复机 - 不轮询清单查询与导出；卡、设备列表与导出增加是否轮询 - 失败告警停机被拒视图、导出与批量关闭轮询；开关轮询影响说明 Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-26 03:07:20 +09:00
邹进	a4e3fe4d8f	fix: 停复机指令队列审查问题 ... - 开关开启但分发器心跳缺失时回退为当场执行，避免指令无人消费 - 待确认指令先查上游状态再判断；执行期间被覆盖时把待确认带到新指令 - 同方向失败退避中重复写入不提前执行时间 - 领取容量把执行上限与本秒剩余 QPS 分开计算 - 队列复机共用单卡复机锁；执行上下文取消后按结果未知确认 - 消费者并行停止；读取最近调用时间失败时不覆盖；成功但终结日志失败按成功处理 Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-26 00:43:58 +09:00
邹进	934a3a27a1	feat: 停复机指令队列与设备维度判断 ... 自动停复机统一经停复机指令队列执行（全局开关 polling.stop_resume.queue_enabled，默认关闭）： - 统一判断函数 decideCard，新旧路径共用；暂停轮询的卡在套餐到期、退款场景照常停机 - 同卡一条指令、版本号覆盖；领取校验单卡最小重试间隔；先于卡任务领取，不受 scheduler_mode 限制 - 执行器只调用一次网关，按错误分类退避与告警，结果未知在队列内确认 - 设备维度判断合并请求与场景，版本变化再判断，旧路径持设备锁时推后 - 套餐激活、重置、订单、流量扣减、套餐到期、退款、实名管控修改改为请求评估 - 监控增加停复机队列与近 1 小时执行计数，单卡轮询状态返回当前指令 - 迁移 000255 插入开关与告警、退避参数 Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-26 00:36:26 +09:00
邹进	c741f1751d	feat: 按运营商账户调度的后台接口与重算到期 ... - /polling-carrier-params 列表（含默认标记与消费能力）、详情、保存（执行上限不得大于订阅进程 max_in_flight 之和）、删除；/polling-check-scenes 列表与修改（检查类型、递增的确认延迟、冷却）；/polling-failure-alerts 列表、按账户与错误类别汇总、详情、标记已处理；GET /iot-cards/:id/polling-state 单卡轮询状态；GET /polling-stats/carrier-queues 按账户队列与执行监控 - 读取仅超级管理员与平台账号，修改仅超级管理员（告警处理平台账号可用），均写统一审计；新增审计动作与资源 - carrier 模式下重算到期时间写入卡到期信息与账户队列，只提前不推后	2026-10-25 18:56:32 +09:00
邹进	0d966249b8	feat: 业务事件与读入口在按运营商账户调度时改为请求检查 ... - 请求检查器按场景配置（tb_polling_check_scene，缓存 30 秒）把卡的检查类型设为立即到期放入账户优先队列，同卡合并、冷却期内不请求、按场景追加延迟确认；设备按有效绑定卡展开 - 业务事件仍在原事务中写 Outbox（提交安全），carrier 模式下 Outbox 消费者把订单支付、套餐激活、自动续费购包、停复机成功事件转为请求检查，不再起三连查观测序列 - 读入口（C 端资产详情、后台资产实时状态、实名链接、设备操作）经模式接缝改为请求检查；设备信息同步保持原观测；OpenAPI 查询仍不触发 - legacy 模式下全部沿用原观测序列	2026-10-25 18:49:36 +09:00
邹进	2fe7c1f8ac	feat: 按运营商账户调度的分发器、卡任务执行器与模式切换 ... - 四个轮询处理器拆为步骤函数 Step（返回结果分类），旧 Asynq Handle 只做并发控制与原有重入队映射，行为不变；carrier 模式下旧 handler 直接结束 - 网关限流增加等待模式（ctx 标记），NSQ 消费者等名额到单步超时，超时按限流处理不计失败；记录限流等待次数 - 卡任务执行器：核对 token 并抢执行权，按配置步骤顺序串行执行到期检查（单步超时、总超时、panic 恢复、流量已触发评估时跳过套餐），执行中续期并 Touch，续期失败立即停止；收尾写回到期、连续失败、退避、延迟确认与告警 - 分发器：每秒按账户抢分发锁领取（执行上限按消费能力收紧、优先占比、按限流组剩余 QPS 估算），发布到 polling.card.{账户}，发布失败释放；消费旧优先提示与手动触发；心跳与处理中标记到期计数 - NSQ 生产者与按账户动态订阅的消费者管理器，优雅退出宽限期 - 失败告警异步写 tb_polling_failure_alert（同卡同类型一条未处理，成功转已恢复），账户窗口内告警数超阈值产生账户级告警 - 模式监听：切 carrier 时旧分片调度停止出队，加锁初始化新结构后开始领取并订阅；回 legacy 时停止消费、重建旧分片队列；生命周期（API 与 Worker）在 carrier 模式写账户队列	2026-10-25 18:44:23 +09:00
邹进	af8249158d	feat: 停复机规则演练与终态自动关闭轮询 ... 统一停复机规则转正的第一次发布：总开关仍关闭，现有停复机行为不变。 - 新增停复机规则演练：GET /stop-resume-rule/dry-run 按新规则对开机与停机卡只判断不执行，返回运营商账户 × 停机原因 × 判断结果汇总与分页明细，可假设通道实名管控配置；POST /stop-resume-rule/dry-run/export 导出明细（场景 stop_resume_rule_dry_run）；仅超级管理员与平台账号 - 风险停机、已销户关闭轮询不再限于独立卡，只关该卡自身轮询，不级联设备 - 错误分类规则增加 auto_disable_polling，仅终态类别可勾选；停复机（含设备停复机）命中该规则时不重试、关闭该卡轮询、回写网关扩展状态并写审计 iot_card.terminal_disable_polling - 迁移 000250 加列与约束，并为"已销户""仅支持风险复机"置位	2026-10-25 17:52:40 +09:00
邹进	98017ac053	feat: 分层轮询、重置日前加密与激活前流量结算 ... - 轮询配置新增套餐状态、资产状态、重置日前窗口与窗口内流量间隔（迁移 248），间隔三态：正数按间隔、0 不检查、空继承 - 配置按 priority, id 排序合并；在库与已销售无套餐未匹配时告警不入队 - 新增优先级整体重排、匹配预览、立即重算到期时间（异步只提前）、分层统计与重置日前加密统计接口 - 已切换日快照计量的卡流量按观测时间归属，激活前用量只记已结算 - 订单购买与实名激活补齐资产级激活锁，激活前对已切换卡结算一次流量，失败只告警不阻塞，结算不触发通道阈值判定	2026-10-24 17:06:38 +09:00
邹进	42e881576d	feat: 卡网关按运营商账户限流并记录停复机调用 ... - 新增网关限流：按本系统运营商账户（卡 carrier_id）→ 限流组 → 操作限制每秒请求数，每次 HTTP 尝试计量，默认限流、仅后台人工点击/通道阈值/自动续费/手动刷新豁免；支持只统计与拦截两种模式，默认只统计 - Asynq 遇限流不计失败、固定短延迟重试；轮询任务与停复机业务重试遇限流短延迟重排 - 停机、复机不再使用网关内部重试，只发一次请求 - 网关返回结构化错误；新增上游错误分类规则表与测试接口 - 新增按月分区的停复机记录表：系统自动停复机只写记录，不再写统一审计与集成日志；普通轮询查询不再写集成日志 - 新增限流组、错误分类、停复机记录、按账户调用统计与枚举后台接口 - 迁移 000243~000246；同步 OpenSpec 提案（含后续 6 个 change）与技术方案、工程约束	2026-10-24 15:06:41 +09:00
邹进	868d969d8e	fix: 补上第1批 M8 提交失败决策写入（6298a906 遗漏） ... - 企微提交被明确拒绝时，在同一事务内写 submission_failed 决策投递记录与终态事件 - Worker 两处 ApprovalContextRepository 注入决策写入器；未注入时提交失败直接报错，不再静默只改实例状态 - 终态决策消费入口单独放行 submission_failed，渠道回调仍不能推进到提交失败 - 6298a906 的编辑脚本在本文件锚点不唯一处中断，三处改动未落盘；本次补齐 - 第1批 ⑤ 5.4、① 5.2/5.4/5.5 测试环境验证完成 Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-12 09:09:58 +09:00
break	4a16eb0b1e	新增代理注册申请管理	2026-09-21 16:51:37 +08:00
break	b063617153	完善退款审批材料与恢复流程	2026-09-20 17:59:52 +08:00
break	5ed6b39deb	feat(收口): 补齐 8 月迭代缺口并同步 Spec 与证据链 ... - 新增六对成对迁移 000232–000237：H5 弹窗类型、退款结算标识与申请人备注、优先轮询事实字段与两个新终态、通道阈值命中留痕、手机号最近解绑人、提现资格校验留痕 - 退款：原因必填与申请人备注、来源支付与渠道流水冻结、线下处理流水号补录审计、按订单查询可选退款方式、企微审批材料补齐且新增字段缺失映射即明确失败 - 优先轮询：人工关闭、有效期到期独立周期任务、失败与过期人工重触发、事实字段与异常重试查询、资产解析端点只读投影 - 通道阈值：命中事实同事务留痕与命中记录查询；员工账单：列表筛选与详情投影；商户池：列表投影与统计周期语义；H5：弹窗类型与类别排序 - 手机号：有效关联数量与最近解绑人、短信验证码失败次数限制；导出：佣金明细十五列与报表序号列 - 时间筛选：三处新增筛选纳入统一严格解析契约，员工账单产生时间参数改名 - 同步 12 份主 Spec 需求、两端点与异步任务证据链，门禁 context-health 与 OpenSpec 校验通过	2026-09-18 15:34:29 +08:00
break	5e78809b93	feat(运营报表): AUG26-015 设备激活与套餐续费日报快照、查询趋势与受控导出 ... - 新增成对迁移 000231 与三张快照表：日级头行、设备粒度激活行、到期事件粒度续费行，以快照日期为唯一键 - 新增每日 03:30（Asia/Shanghai）日报快照生成任务与幂等整日替换，失败重试沿用同一目标日 - 新增六条受控入口：两张报表的汇总、日/月趋势与受控导出，配套查询层只读快照事实 - 新增 operations_activation 与 operations_renewal 两个导出场景，创建期冻结筛选与可见店铺范围、派发期冻结表头、执行期只按冻结值复核资格 - 采购数量口径按系统内未删除设备数实施并在 PRD 标注，附实测差额依据 - 同步证据链 requirement-evidence.json 与入口能力矩阵、ARCHITECTURE 与验证记录 - 归档 change add-operations-reports 并新建主 Spec openspec/specs/operations-report/spec.md	2026-09-18 09:42:28 +08:00
break	d52be16802	feat(资产钱包自动续费): 新增全局配置、每日扫描续购与可靠复机 ... - 新增单行配置表 tb_asset_auto_renewal_config 与尝试记录表 tb_asset_auto_renewal_attempt（迁移 000229/000230） - 每日按上海自然日扫描，窗口内以同一资产钱包可用余额续购当前主套餐，资金/订单/套餐/审计同一事务闭合 - 唯一键保证每资产每日至多一次尝试，占位中断由后续扫描收敛，当日不重试 - 四类失败原因向客户与店铺各投递每日至多一条站内通知，并注册通知类型与个人客户白名单 - 续费成功后按条件经 Outbox 可靠投递复机，新增恢复扫描只查询回填，不使用即发即弃调用 - 配置读写仅超级管理员与平台账号，保存记录操作者、前后值快照并登记统一审计 - tasks 7.1–7.15 全部验证通过（本机隔离 PostgreSQL/Redis，零外部渠道调用）	2026-09-17 16:39:26 +08:00
break	aab56a6998	feat(轮询优先队列): AUG26-016 卡轮询优先队列、人工入队与读侧接口，归档并同步主 Spec 与证据矩阵 ... 新增 000228 成对迁移 tb_polling_priority_item：卡、任务类型、状态、触发类型、来源订单/套餐使用记录、 触发次数与来源集合、尝试次数、失败原因、人工原因与操作者、店铺快照与各时间列；以活动项部分唯一索引 uq_polling_priority_item_active（仅 deleted_at IS NULL AND status IN ('pending','processing') 占键位） 表达「同卡同任务类型至多一条活动项」，另有状态/时间索引与全列注释；down 守卫在存在活动项或未终态行时 拒绝回滚并给出中文原因。 新增优先轮询请求可靠事件 polling.priority.requested（载荷版本 v1、事件键前缀 prio:）与消费者：只在原 业务事务内追加、幂等键稳定；消费者按卡 × 纳入任务类型（realname/carddata/card_status/package）逐条 建项并在提交后下发执行提示，重复投递只合并触发次数、来源集合与最近触发时间，不新建行也不重复调用。 触发点为四类自动场景 purchase_activated / renewal_activated（按同载体更早套餐使用记录判定）/ queue_activated / addon_activated 与「无有效套餐」no_valid_package（仅在普通套餐轮询来源且存在待生效 套餐使用记录时追加；事件通道显式拒绝 manual_trigger）；入队对象恒为卡，绑定设备资产在触发事务内冻结 在用卡快照逐卡建项，不使用设备当前卡槽口径。 轮询共享基类新增认领接缝：四个 Handler（realname/carddata/card_status/package）在并发信号量之后、调用 上游之前探测活动项——待执行条件认领、执行中且 90 秒租约未到期则跳过并延后、无活动项时行为与既有完全 等价；超租约允许相邻执行接管，尝试次数只在真正发起执行后累加，未达上限（3）回到活动态按既有间隔重排， 达上限或业务校验类失败进入失败终态并保留可安全展示原因；执行前校验卡自身与绑定设备的轮询开关。未引入 通用卡级锁与 Redis 活动标记，分片队列的出队、入队与移除路径未改动。 提示通道按任务类型独立键（polling:priority:{taskType}），与既有手动触发队列分离；调度器在同一周期内先 排空优先提示、再排空手动触发队列，提示排空不受分片背压跳过影响；未新建调度设施或异步任务类型。 新增人工优先入队与只读查询三条路由 POST /api/admin/polling-priority-items、 GET /api/admin/polling-priority-items、GET /api/admin/polling-priority-items/:id：人工入队复用既有轮询 权限判定（抽取为同包共享函数），原因必填，不受每日 500 次上限与 24 小时去重约束，重复抑制由活动项合并 承担；读侧按店铺快照下推数据范围，越权与不存在不可区分，不提供优先级分级、有效期或人工重触发入口。 新增 7 个审计动作（enqueue/claim/fail/retry/complete/dequeue/manual_denied）与资源 polling_priority_item，并按（操作者类型，来源）注册，人工侧与 Worker 侧均通过来源校验。 同步 OpenAPI 文档装配三处与路由注册；归档 Change 至 openspec/changes/archive/2026-09-17-add-priority-polling-queue/ 并同步主 Spec（新增 priority-polling-queue、polling-operations 追加单次执行互斥 Requirement 与三条路由索引）与上下文健康 证据（requirement-evidence 150 行、入口矩阵 http 403 / async 56）。 本机验证：junhong_cmp_test 与隔离 Redis DB 15，未连生产、未启动 Worker/API、未调用运营商上游；迁移 up/down/up 与 down 守卫实测（含 dirty=true 记账口径与 force 恢复），A–F 批 94 PASS、接缝 63 PASS、 提示通道 12 PASS、清理零残留 20 PASS。成功路径 Complete、真并发互斥、尝试上限第 3 次判定、HTTP 层权限 矩阵、通道阈值持锁复机边界与三类生效触发点生产集成留待测试部署验证（见 docs/verification/add-priority-polling-queue-verification.md 第 4 节）。自动化测试按项目决策为 N/A， 未新增 *_test.go。	2026-09-17 14:29:56 +08:00
break	d5bcda94fe	feat(套餐真流量预警): AUG26-004 真流量预警规则、达量扫描通知与导出 ... 新增 000228 迁移：规则表 tb_package_traffic_alert_rule（每套餐商品至多一条，无软删除，package_id 非部分唯一约束）、达量预警快照表 tb_package_traffic_alert（以主套餐使用记录 + 阈值快照为唯一键， 触发时冻结用量、额度、比例、阈值、到期时间、归属与资产快照），并为 tb_package_usage 新增扫描 范围部分索引 idx_package_usage_alert_scope；down 在预警表存在数据时阻断回滚。 新增规则维护接口 GET/POST/PUT /api/admin/package-traffic-alert-rules（仅超级管理员与平台账号）： 创建校验套餐存在且真流量额度大于零，阈值为 1%～100% 的两位小数；修改只影响后续扫描，不回填也 不改写既有预警快照；全部写操作记录操作者、前后值与时间。 新增每日 06:00（Asia/Shanghai）扫描任务 package:traffic:alert:scan，与套餐临期扫描共用 data_cleanup 队列：按资产汇总当前有效套餐的真流量，分子取使用记录真已用量、分母取使用记录真总量快照，命中 主套餐规则阈值时在同一事务创建预警与可靠通知事件；重复执行以唯一冲突视为已处理，不重复投递， 不建停机锁、不调用运营商。 新增预警列表、详情与异步导出 GET /api/admin/package-traffic-alerts、GET /api/admin/package-traffic-alerts/:id、 POST /api/admin/package-traffic-alerts/export，列表与详情一律读冻结快照；新增通知类型 package.traffic.alert 与受控目标 package_traffic_alert_detail，目标解析仅对超级管理员与平台账号 返回可跳转，越权与不存在统一按资源不可见处理。 同步 OpenAPI（cmd/gendocs、cmd/api/docs.go、pkg/openapi/handlers.go）、审计动作与资源注册、上下文 健康检查证据；归档变更并同步 package-traffic-alert 主 Spec。	2026-09-16 17:05:55 +08:00
break	59b3df868a	feat(通道流量阈值): AUG26-011 运营商通道流量阈值达量停机与周期复机	2026-09-16 15:54:49 +08:00
break	333ba4b647	feat(H5弹窗): AUG26-007 风险换卡与运营弹窗投放通知 ... 新增 000225 迁移：运营弹窗配置表 tb_h5_popup_configuration（页面/范围/优先级/频率/受控动作/启停/有效期/版本） 与 tb_notification 可空 JSONB 列 popup_snapshot。 新增通知直建窄接口 DirectWriter.CreateOrGetPersonal：与 Outbox 消费共用 prepareDelivery 的渲染、 展示期与 CreateIdempotent 规则，冲突时回查返回既有行；同步扩展个人通知查询与已读两处类型白名单， 并按个人客户入口补齐投递审计来源。 新增 H5 候选与风险换卡：GET /api/c/v1/popup-candidates 先判风险资格（广电卡 + 风险停机 + 无活动物流换货单），命中只返回风险候选；未命中再按时间/启停/页面/店铺/设备类型/卡类型范围/频率 匹配运营配置。POST /api/c/v1/risk-exchanges/:asset_id/address 锁资产行后幂等创建待发货物流换货单， 首次地址锁定，不沿用资产级群发通知。 新增后台运营弹窗配置 CRUD 与启停（仅超级管理员与平台账号），更新递增版本并刷新最近更新时间， 标题与正文统一拒绝 URL 与前端路由，全部写操作记录操作者、前后值、版本与时间。 同步 OpenAPI（cmd/gendocs、cmd/api/docs.go、pkg/openapi/handlers.go）与参数校验中文提示共用实现。	2026-09-15 15:23:52 +08:00
break	70e680eb0a	feat(手机号资产关联): AUG26-009 手机号—资产关联、十项上限与后台解绑 ... - 新增成对迁移 000223（tb_phone_asset_association，含有效关系部分唯一索引与 down 守卫）与 000224（解绑导入任务表），不回填历史 - H5：need_bind_phone 三支判定（开关关闭完全短路）；已有主号幂等建联；十项上限按手机号 advisory 串行化（含换绑到全新号的并发场景）；换绑原子迁移与冲突整单回滚；不写遗留列 - 后台：关联列表、单项/批量解绑、CSV 导入解绑（B1–B16），超管/平台 gate + 资产数据范围复核，三态统一文案 - 读侧：卡/设备列表与详情按页一次 IN 聚合；两类导出补「关联手机号」列并保留历史表头反解兼容 - 脱敏：关联审计走独立动作/资源只写脱敏手机号；访问日志手机号类字段脱敏 - 同步主 Spec openspec/specs/phone-asset-association 并归档 AUG26-009，补齐 requirement-evidence 与入口矩阵，context-health 通过	2026-09-15 11:54:56 +08:00
break	c7f9e005af	feat(业务用户组): AUG26-003 业务用户组与店铺负责人分组导入 ... - 迁移 000221：新增 tb_business_user_group、tb_business_user_group_member、tb_shop_business_owner_import_task，成员一账号一行由部分唯一索引保证，店铺所属组按当前负责人实时推导，不回填历史分组。 - 用户组 CRUD、成员改组/清空归属、店铺批量交接（原子失败不部分写入）。 - 店铺负责人 CSV 导入任务：逐行独立事务、逐行明细、任务级与行级失败分离。 - 读侧推导与筛选：未分组、业务线、停用组可筛出并带停用标记。 - 补齐操作审计动作与资源、openapi 清单、发布门禁巡检表清单。 - 归档 add-shop-salesperson-groups 变更并同步 openspec/specs/business-user-group，补齐 AUG26-003 验证证据链。	2026-09-14 16:51:44 +08:00
break	1aa4eacee2	feat(退款分佣): 佣金回溯明细替换全额失效并补齐读侧与导出 ... 用 PRD 2.14 语义整体替换退款佣金「整单全额失效」实现：原佣金保持已发放不变， 回溯事实落在新表 tb_commission_clawback_record 的负数、不可提现明细上。 - 新增成对迁移 000220 建 tb_commission_clawback_record，唯一约束 (refund_id, original_commission_id) 为权威幂等键，附店铺+时间/原佣金/订单索引。 - 回溯用例（internal/service/refund/clawback.go）：准入仅由退款申请状态、审批异常 标记与退款方式决定；金额按分整数计算，分母取冻结实收（缺失回落审批尝试）、 分子原路取渠道成功金额，乘法用 math/big 中间量，舍入差自末条起向前补差； 终态判据要求订单佣金已离开待计算且不存在 status IN (1,2,99) 的记录。 - 三层幂等：唯一约束兜底、佣金行行锁 + 钱包乐观锁、commission_deducted 仅作投影 并带 WHERE commission_deducted = false 条件置位；闭合三结果为已回溯、无需回溯、 审批异常转人工。 - 事务内顺序固定：锁提现申请行 → 锁尝试行 → 解冻冻结 → 置驳回 → 插回溯明细 → 扣 balance（允许为负）→ 写负数流水 → 审计；删除旧全额失效写入与其两个审计调用点， refund.invalidate_commission 仅保留常量与注册供历史审计读取。 - 读侧：佣金明细列表 status 筛选透传，两表 UNION ALL 合并分页并以 source ASC 作 末位次序键；新增佣金明细详情接口并同步路由与 OpenAPI 装配。 - 导出：新增 commission_record 场景（白名单、exporter 注册、DTO oneof、DataSource 与列定义），粒度为佣金记录，原佣金与回溯各一行，金额保持分且可为负。 - 新增退款佣金回溯周期补偿任务（@every 1m / MaxRetry(3) / Timeout(10m) / Unique(10m)，独立队列），保留启动时补偿扫描，判据与既有实现一致。 Refs: AUG26-012	2026-09-14 13:40:34 +08:00
break	ba0855d9eb	feat(退款): AUG26-006 退款方式选择与原路退款 ... 按 PRD 2.3/2.4/2.5 落地套餐退款的方式矩阵与原路渠道退款： - 退款申请派生并冻结权威实收金额（线上取原成功支付记录，钱包/线下取订单实际收款）， 提交人不可填写或修改；按来源支付方式生成可选方式矩阵并在创建、提交、执行前重复校验。 - 审批切换为「每次提交一条不可变审批尝试记录 + 独立企业微信审批实例」，业务标识取尝试 记录主键；终态消费按尝试记录优先、退款申请兜底双读，兼容存量无实例与已关联实例申请。 新增活动退款部分唯一索引 (order_id) WHERE status IN (1,5,6)。 - 本地人工终审保持既有开关，补齐通过入口的 approval_instance_id IS NULL 守卫，使三个 入口一致拒绝已关联审批实例的申请；重提按尝试模式重写（仅已拒绝/已退回/原路失败且无异常）。 - 权益时点：企微通过事务写退款终态、按方式确定的订单态、钱包回款、员工账单冲销与可靠 失效事实；套餐失效/接续/停机仍由既有可靠机制最终一致执行，不把外部调用放入资金事务。 订单支付状态按方式置位：凭证退款与退回原钱包在企微通过时置已退款，原路须渠道明确成功。 - 按官方契约实现微信直连 v3、微信 v2（双向证书）、富友（/commonRefund 与 /refundQuery）、 支付宝四类原路退款；能力只由服务商类型与退款必需凭证完整性决定，无人工开关。 渠道请求号在提交时冻结到尝试记录，并以 channel_submitted_at 条件认领保证资金动作至多 提交一次（重复投递只查询不二次提交）；不向任何渠道传递退款结果通知地址。 - 新增 refund:channel:recovery 恢复任务只查询回填；本地查询窗口超期（富友 72 小时、 微信 v2 7 天）转原路退款失败、渠道状态已失败、分类超时未知并置异常转人工，不放行自动 重提以避免重复退款。 - 同步退款 DTO/导出/审计资源与审计查询关联、商户凭证文档，并修正 fuiou 集成契约文档。 迁移 000218（退款尝试与渠道退款事实）、000219（微信 v2 客户端证书凭证）成对提供， 未修改既有迁移；测试库 junhong_cmp_test 完成 up/down/up 与行为核对，未调用真实渠道。	2026-09-14 11:55:16 +08:00
break	575d056f54	feat(代理分销提现): 落地扫码注册、提现资料资格与企微终审提现 ... AUG26-008。 - 迁移 000214–000217：tb_shop 全局唯一且不可修改的随机分销码（含存量回填）、 tb_agent_distribution_registration 待审批注册记录、tb_withdrawal_qualification 资料版本、 tb_commission_withdrawal_request_attempt 审批尝试记录，以及提现申请的 latest_*/异常标记列； 不修改既有迁移，down 在存在本 Change 业务事实或新类型场景行时拒绝破坏性回滚。 - 公开接口 POST /api/c/v1/agent-distribution-registrations：无认证，复用既有短信验证码校验、 消费与限流；无效分销码、停用上级、验证码无效或已消费统一返回「分销码不可用」且不落库， 审批通过前不创建店铺、账号或钱包。 - 审批通过才在同一事务内建启用店铺、代理主账号、钱包、上级层级与业务员快照，驳回不建实体， 重复回调不重复建实体，提交后清理上级下级缓存。 - 提现资料资格按不可变版本保存，替换合同或法人身份证即新增版本并同事务失效旧有效版本； 超管作废原因必填；代理停用与店铺删除联动失效。 - 提现每次提交或重提新增不可变审批尝试记录并冻结金额；企业微信通过仅一次从冻结扣减、 保持状态 2 并写 paid_at（不使用状态 4），驳回/cancelled/deleted 仅一次释放， 通过后撤销不回滚、不重新冻结、只写正交异常标记；加锁顺序统一为申请→尝试→钱包。 - 本地人工终审对已关联审批实例的申请返回状态冲突，approval_instance_id 为空的存量申请保持既有行为， 不新增任何配置开关。 - 补齐审批业务类型注册点全集：业务类型与场景字段常量、场景 DTO 两处枚举与中文描述、 场景字段白名单/合法类型/中文名、数据库 CHECK、Worker 决策消费者与装配、审批审计资源映射， 以及三个新审计资源与 13 个审计动作；失败/拒绝审计改为必达。 - 新增后台路由与 OpenAPI：资格提交/查询/作废、提现申请/重提/详情、店铺详情返回只读分销码。 - 归档本 Change：主 Spec 新增 agent-distribution-withdrawal 能力（5 个 Requirement）。 验证（junhong_cmp_test + Redis DB 6，显式 DB_*，未重置整库）： - 迁移 up → version 217 且 dirty=false → down 3 → up 回 217，fixture 复核残留为 0。 - 受控状态机脚手架 227 项通过 / 0 项失败，覆盖 18 组场景（幂等与乱序回调、资金冻结/释放/重提、 退款回扣 × 在途提现并发、负向场景拒绝审计与 14 个动作码审计真实落库）。 - gofmt 空、go build/go vet 通过、gendocs 与工作区逐字节一致、context-health 通过、 openspec validate --strict 通过、doctor healthy；自动化测试按项目决策为 N/A。 运行期前置（未完成，非代码交付物）：由超管经 PUT /api/admin/wecom/scenes/{business_type} 为 agent_distribution_approval、withdrawal_qualification_approval、commission_withdrawal_approval 配置启用场景与模板控件映射；未配置时相应提交失败关闭。	2026-09-14 09:45:13 +08:00
break	ce24d5612e	feat(员工代收款): 新增员工代收款账单闭环 ... - 新增 6 张表与成对迁移 000212，扩展企业微信审批场景业务类型白名单 - 后台线下套餐订单与两条代理线下充值入账路径在来源成功事务内建账，来源唯一键幂等 - 核销申请、审批尝试记录、账单分摊预占与驳回重提，审批业务类型 employee_collection_approval - 企业微信终态消费幂等：通过转已核销、驳回释放预占、通过后撤销不回滚并转异常终态 - 退款成功事务内按 bill_id+refund_id 幂等冲销账单或仅写退款关联提示 - 线下收款方式字典、账单查询/统计/关闭、申请查询与代办权限，均写入事务内审计 OpenSpec Change: add-employee-collection-bills	2026-09-10 18:24:05 +08:00
break	98c145fe70	实现支付商户池与微信授权配置 ... 新增收款商户、商户池轮询、微信授权配置独立管理；三类新支付 （C端套餐购买、C端资产钱包充值、代理在线预存款充值）无条件 经商户池选择并冻结路由，无旧综合配置回退。merchant_id 为空 历史支付继续按 payment_config_id 双读。凭证版本化加载与 ID+版本缓存保证轮换一致性。删除商户池新支付创建开关及全部 引用。	2026-09-09 18:13:04 +08:00
break	dbfeeee253	缓解io压力	2026-09-02 16:14:27 +08:00
break	62f3d25e81	修复批量订购	2026-08-26 14:54:26 +08:00
break	22b95db2f9	每日清理	2026-08-20 12:03:17 +08:00
break	656a921ff0	富友支付支持	2026-08-18 17:13:20 +08:00
break	e134552ec5	更新	2026-08-13 12:31:47 +08:00
break	a795ca3650	修复通知	2026-08-11 11:18:11 +08:00
break	c64f3d8b80	全局审计完成	2026-08-07 11:02:52 +08:00
break	88cc5e96ec	暂存	2026-08-06 09:35:00 +08:00
break	5e552d99bc	收口审计治理与套餐任务进展 ... Constraint: 在线热修前必须保存当前迭代分支全部有效代码进展 Confidence: medium Scope-risk: broad Directive: 后续修改需保持审计事件与业务事务边界一致 Tested: git diff --cached --check Not-tested: 未运行全量测试，提交用于切换分支前保存既有工作	2026-08-05 14:30:54 +08:00
break	b3499adfca	固化七月迭代审计治理进展以隔离线上热修 ... Constraint: 切换 main 前必须保存当前七月分支全部项目进展，套餐生效提案仅属于 Iteration/7-11。 Rejected: 将七月套餐修复直接移植到 main | 两个分支的可靠投递架构不同。 Confidence: medium Scope-risk: broad Directive: 不得将本提交整体 cherry-pick 到 main；main 套餐热修必须基于其纯 Asynq 代码独立实施。 Tested: git diff --check；openspec validate fix-package-activation-starvation --strict。 Not-tested: 按用户要求未运行自动化测试；go build ./... 因当前审计改造中的 Enterprise 模型字面量和 role.recordFailure 参数类型错误未通过。	2026-08-03 09:47:22 +08:00
break	8fc667daee	让代理充值复用现有网页支付能力 ... 微信按当前 v2/v3 配置分别生成 MWEB/H5 链接，支付宝复用 C 端 WAP 链接，并让可用支付方式基于生效配置判断。 Constraint: 支付链接统一通过 qr_content 返回，由前端渲染二维码；按要求不运行测试 Rejected: 微信 Native 与支付宝当面付 | 会引入非当前商户配置所需的额外产品开通 Confidence: high Scope-risk: moderate Directive: 微信 H5/MWEB 二维码仅承诺系统相机或外部浏览器扫码链路 Tested: 相关 Go 包编译通过；gofmt 与 git diff --check 通过 Not-tested: 按用户要求未运行自动化测试及真实支付联调	2026-07-30 11:41:50 +08:00
break	1fee19feeb	补充一些通知	2026-07-28 15:50:12 +08:00
break	cbf909b878	代理在线充值	2026-07-27 16:02:55 +08:00
break	cb26217205	让七月迭代具备可直接部署的配置基线 ... 补齐三套环境配置、测试环境部署门禁与 system_config 初始化，并按当前无企微应用的约束将企微凭据改为明文存储。 Constraint: 当前测试环境尚无企微应用及历史企微密文数据 Rejected: 使用启动环境变量加密企微凭据 | 用户明确要求直接明文保存并移除加密密钥 Confidence: high Scope-risk: moderate Directive: 企微真实闭环完成前保持两个旧审批入口开关为 true Tested: gofmt；git diff --check；bash -n；docker compose config；Gitea workflow YAML 解析；OpenAPI 重新生成 Not-tested: go test；常规 go build；LSP；实际数据库迁移；真实测试环境部署；企微真实联调	2026-07-25 18:18:45 +08:00
break	73f5125d3d	七月迭代短暂完结,还有很多后端的关键东西没有弄,这是一版赶时间做的东西	2026-07-25 17:06:58 +08:00
break	5c4d17e9fc	收口七月卡状态回调与系列授权兼容契约 ... 完成运营商实名回调、业务事件观测序列与受控配置装配，同时恢复 UR43 已交付的 packages[].remove 字段及旧响应兼容，统一更新 OpenSpec、OpenAPI 和交付文档。 Constraint: 七月测试环境里程碑不新增或运行自动化测试 Rejected: 以必填 operation_type 替换 packages[].remove | 会破坏已交付前端契约 Confidence: high Scope-risk: broad Directive: 后续修改系列套餐管理接口必须保持 packages[].remove 和 ShopSeriesGrantResponse 兼容 Tested: go run ./cmd/gendocs；go build -buildvcs=false ./...；openspec validate complete-july-iteration-test-release --strict；git diff --check Not-tested: 按本 Change 约定未运行 go test，真实运营商与 Gateway 联调延期	2026-07-24 19:59:24 +08:00
break	a18ed8bc8d	暂存一下,防止丢失	2026-07-24 16:07:18 +08:00
break	ff44305d0e	实现审计覆盖门禁与外部集成日志闭环	2026-07-23 21:31:22 +09:00