新增门禁：实现访问授权编排

docs/development/dms-r3/06_authorization_state_machine.md

@@ -159,3 +159,20 @@ stateDiagram-v2
 - **迁移标记**：
   - `008_RUNTIME_FIRST_RUN = NOT_EXECUTED`，`008_RUNTIME_SECOND_RUN = NOT_EXECUTED`。
   - `RUNTIME_MIGRATION_GATE_BEFORE_PRODUCTION = REQUIRED`。
+
+---
+
+## 7. Wave 3A Implementation Result (Wave 3A implemented against Mock DMS only)
+- **阶段状态**：Wave 3A Access Authorization Orchestration Dry-Run implemented against Mock DMS only。
+- **厂商中立业务授权状态模型 (`AUTHORIZATION_STATUS_MODEL`)**：
+  - 完整定义细粒度业务授权状态枚举：`PENDING_GRANT`（待下发） -> `GRANTING`（下发中） -> `ACTIVE`（已生效） -> `PENDING_REVOKE`（待注销） -> `REVOKING`（注销中） -> `REVOKED`（已注销），异常收敛为 `ERROR`。
+  - 业务授权生命周期与单次外部操作流水（`ExternalOperation.operation_status`）严格解耦：
+    - `ExternalOperation` 达成 `ACCEPTED` 时，`DoorAuthorization` 保持 `GRANTING` / `REVOKING`，**严禁直接标记为 ACTIVE / REVOKED**。
+    - `ExternalOperation` 经由异步轮询器对账达成 `SUCCESS` 时，方才正式推进 `DoorAuthorization` 为 `ACTIVE` 或 `REVOKED`。
+    - `ExternalOperation` 失败或超时（`FAILED` / `TIMEOUT`）时，`DoorAuthorization` 置为 `ERROR` 并保留原业务上下文以备后续幂等重试。
+- **防迟到覆盖保护 (`STALE_OPERATION_RESULT_GUARD`)**：
+  - 授权主表建立 `latest_operation_id` 与 `operation_version` 防护机制。
+  - 当轮询器处理旧操作流水结果时，必须强校验当前授权记录的 `latest_operation_id` 是否依然与该流水匹配。
+  - 若已发起后续新操作，迟到的旧操作结果（如旧 GRANT 迟到的 FAILED 或 SUCCESS）被静默忽略，绝不覆盖新授权状态。
+- **向后兼容与双向状态映射**：
+  - `TrainDormAuth` 内置 `authStatus` 与旧版 `faceSyncStatus` 双向同步转换，在 009 Migration 未在生产执行前无缝兼容现有 MyBatis 映射。

docs/development/dms-r3/07_retry_idempotency_and_compensation.md

@@ -176,3 +176,30 @@ sequenceDiagram
 - **迁移标记**：
   - `008_RUNTIME_FIRST_RUN = NOT_EXECUTED`，`008_RUNTIME_SECOND_RUN = NOT_EXECUTED`。
   - `RUNTIME_MIGRATION_GATE_BEFORE_PRODUCTION = REQUIRED`。
+
+---
+
+## 8. Wave 3A Implementation Result (Wave 3A implemented against Mock DMS only)
+- **阶段状态**：Wave 3A Access Authorization Orchestration Dry-Run implemented against Mock DMS only。
+- **状态驱动对账模型 (`RECONCILIATION_MODEL`)**：
+  - 核心编排组件：`AccessAuthorizationOrchestrator.reconcile(enrollmentId)`。
+  - 统一检查业务事实并决策输出：`NO_ACTION`、`WAITING_FOR_PREREQUISITE`、`GRANT_REQUIRED`、`REVOKE_REQUIRED`。
+  - 彻底解耦业务事件发生时序：
+    - Scenario A（先分配住宿，后报到确认）：报到确认后触发对账 -> GRANT -> 轮询成功 -> ACTIVE。
+    - Scenario B（先报到确认，后分配住宿）：初次对账 WAITING -> 分配住宿后触发对账 -> GRANT -> 轮询成功 -> ACTIVE。
+- **业务主事务完全解耦与独立性 (`LONG_DB_TRANSACTION_AROUND_HTTP = NO`)**：
+  - 严禁长事务包住远程 HTTP 调用：本地写授权记录与写操作流水为短事务，随后进行外部 Gateway 调用，后续再短事务更新受理结果。
+  - `REPORT_CONFIRM_EXTERNAL_FAILURE_ROLLBACK = NO`：DMS 网络超时或故障时，报到确认（`status 0 -> 1`）、退宿（`status 1 -> 2`）、结训归档（`status 1 -> 4`）等本地主业务事务绝对不会回滚，外部门禁自动转入待重试/挂起态。
+- **对账幂等与防重机制 (`RECONCILE_IDEMPOTENT`)**：
+  - 连续多次触发对账（如学员重复点击或短时多事件触发），业务事实未变化时返回 `NO_ACTION`，绝不重复创建业务授权、绝不重复调用 DMS 发放密码凭据、绝不创建重复操作流水。
+- **最少特权门锁选择策略 (`LOCK_SELECTION_POLICY = PRIMARY_LOCK_ONLY`)**：
+  - 严格限制自动发码范围为房间的唯一定义主门锁：
+    - 0 主锁：阻断发码，返回 `WAITING_FOR_PREREQUISITE`。
+    - 1 主锁：正常放行下发凭据。
+    - >1 主锁：配置歧义错误阻断，保护硬件资源。
+    - 次锁：不额外自动发码，保留未来扩展能力。
+- **调房安全策略 (`TRANSFER_POLICY = GRANT_NEW_THEN_REVOKE_OLD`)**：
+  - 先为新宿舍发起凭据下发并等待轮询确认生效（ACTIVE）。
+  - 只有在新宿舍确认生效后，才对旧宿舍发起撤销调用。
+  - `TRANSFER_FAILURE_PRESERVES_OLD_ACCESS = YES`：若新宿舍凭据下发失败，旧宿舍授权绝对保持 ACTIVE，杜绝学员两头落空进不了门。
+  - 审计确认存在短暂合理的 `dual-access window`，优先保障可用性。

docs/development/dms-r3/10_api_and_ui_proposal.md

@@ -127,3 +127,12 @@
 - **迁移标记**：
   - `008_RUNTIME_FIRST_RUN = NOT_EXECUTED`，`008_RUNTIME_SECOND_RUN = NOT_EXECUTED`。
   - `RUNTIME_MIGRATION_GATE_BEFORE_PRODUCTION = REQUIRED`。
+
+---
+
+## 7. Wave 3A Implementation Result (Wave 3A implemented against Mock DMS only)
+- **阶段状态**：Wave 3A Access Authorization Orchestration Dry-Run implemented against Mock DMS only。
+- **UI 与外部 API 边界纪律**：
+  - `FRONTEND_MODIFIED = 0`：前端与 `build_ui` 源码变更文件数为 0，未向页面引入任何未经过评审的前端组件或菜单配置。
+  - `CONTROLLER_COUNT = 0`：本阶段为纯业务编排 Dry-run 基础层，未暴露任何对外的正式或调试 Controller 端点。
+  - 测试与验证完全通过 Service 层集成测试完成。管理端对账与手动干预入口（如 Manual Reconcile API）将在 Wave 3B 统一部署。

docs/development/dms-r3/11_testing_and_mock_plan.md

@@ -184,3 +184,41 @@ public void testConcurrentLoginDeduplication() throws Exception {
   - `LIVE_DMS_REQUEST_COUNT = 0`
   - `008_RUNTIME_FIRST_RUN = NOT_EXECUTED`，`008_RUNTIME_SECOND_RUN = NOT_EXECUTED`
   - `RUNTIME_MIGRATION_GATE_BEFORE_PRODUCTION = REQUIRED`
+
+---
+
+## 6. Wave 3A Implementation Result (Wave 3A implemented against Mock DMS only)
+- **阶段状态**：Wave 3A Access Authorization Orchestration Dry-Run implemented against Mock DMS only。
+- **新增测试用例清单 (共计新增 18 项，全量总计 251 项)**：
+  1. `DormAuthorizationOrchestrationMigrationContractTest.java` (4 项)：
+     - `testMigrationFileExistsAndNamedCorrectly` (009 脚本命名与唯一编号校验)。
+     - `testIdempotency_AlterTableAddColumnIfNotExists` (ALTER TABLE ADD COLUMN IF NOT EXISTS 幂等静态断言)。
+     - `testSafety_NoPlaintextSecretColumns` (静态审计脚本绝无 password/secret 明文存储列)。
+     - `testSafety_NoDestructiveDdlOrDml` (静态审计脚本绝无 DROP/TRUNCATE 等破坏性语句)。
+  2. `AccessAuthorizationOrchestrationTest.java` (9 项)：
+     - `testScenarioA_AccommodationFirstThenReportConfirm` (先分配宿舍，后报到确认：报到确认前 WAITING，报到确认后 GRANT，Poller 确认后推进 ACTIVE)。
+     - `testScenarioB_ReportConfirmFirstThenAccommodation` (先报到确认，后分配宿舍：初次对账 WAITING，分房后 GRANT，Poller 确认后推进 ACTIVE)。
+     - `testReconciliationIdempotency_NoDuplicateOperations` (ACTIVE 状态下重复触发 5 次对账，无新增授权、无重复发码)。
+     - `testGrantFailureScenario_RetryGeneratesNewOperation` (设备执行 FAILED，状态置为 ERROR，重试对账安全创建全新操作流水，旧 FAILED 留存)。
+     - `testRevokeLifecycle_OnEnrollmentTermination` (退训/结训触发主动撤权，下发成功先为 REVOKING，Poller 确认后成为 REVOKED)。
+     - `testTransfer_GrantNewThenRevokeOld` (调房安全时序：新房 Grant 成功且 ACTIVE 后，才发起旧房 Revoke)。
+     - `testTransferFailure_PreservesOldRoomAccess` (新房 Grant 失败时，旧房授权严格保持 ACTIVE，杜绝学员无门可进)。
+     - `testLockSelectionPolicy_PrimaryLockOnly` (Least Privilege：0 主锁阻断、1 主锁放行、2 主锁配置错误阻断、次锁不自动发码)。
+     - `testStaleOperationProtection_NeverOverwritesNewState` (防迟到覆盖保护：旧操作迟到结果绝不覆盖已推进的新授权状态)。
+  3. `BusinessTransactionIndependenceTest.java` (5 项)：
+     - `testSecurePasswordGenerator` (验证 SecureRandom 强随机、6 位数字生成，杜绝弱密码)。
+     - `testSensitiveDataScans_ZeroPlaintextPasswordPersistence` (实体字段、toString、Operation 流水敏感数据全要素防泄露扫描)。
+     - `testReportConfirmExternalFailureRollback_IsNo` (报到业务事务独立性：DMS 崩溃超时时报到确认主流程成功，`REPORT_CONFIRM_EXTERNAL_FAILURE_ROLLBACK = NO`)。
+     - `testAccommodationCheckout_ExternalRevokeFailureDoesNotRollback` (退宿业务事务独立性：DMS 撤权失败不影响退宿完成)。
+     - `testPlanComplete_ExternalRevokeFailureDoesNotRollback` (结训业务事务独立性：结训归档在 DMS 失败下仍成功提交)。
+- **全量测试指标**：
+  - 旧测试基线：233 项。
+  - 新增测试数：18 项。
+  - 当前测试总数：251 项（ruoyi-train: 219 项，ruoyi-admin: 32 项），Failures = 0, Errors = 0, Skipped = 0。
+  - Maven `clean test` 与 `clean package` 全部成功。
+- **环境与安全纪律**：
+  - `LIVE_DMS_REQUEST_COUNT = 0`（全量测试连接 MockDmsServer，真实 DMS 调用严格为 0）。
+  - `FRONTEND_MODIFIED = 0`，`CONTROLLER_COUNT = 0`。
+  - `008_RUNTIME_FIRST_RUN = NOT_EXECUTED`，`008_RUNTIME_SECOND_RUN = NOT_EXECUTED`。
+  - `009_RUNTIME_FIRST_RUN = NOT_EXECUTED`，`009_RUNTIME_SECOND_RUN = NOT_EXECUTED`。
+  - `RUNTIME_MIGRATION_GATE_BEFORE_PRODUCTION = REQUIRED`。

docs/development/dms-r3/12_implementation_task_breakdown.md

@@ -215,3 +215,30 @@ flowchart TD
   - `008_RUNTIME_FIRST_RUN = NOT_EXECUTED`
   - `008_RUNTIME_SECOND_RUN = NOT_EXECUTED`
   - `RUNTIME_MIGRATION_GATE_BEFORE_PRODUCTION = REQUIRED`
+
+### 3.5 Wave 3A Implementation Result (业务状态/门禁期望状态/外部操作统一编排 Dry-Run - Wave 3A implemented against Mock DMS only)
+- **阶段目标**：Access Authorization Orchestration Dry-Run
+- **执行状态**：Wave 3A implemented against Mock DMS only
+- **核心交付清单**：
+  1. 架构扩展迁移脚本：`RuoYi-Vue/sql/system/kingbase/009_dorm_authorization_orchestration.sql`（安全编号 009，幂等增量添加凭据类型、业务授权状态、关联操作ID与版本号列，零明文列）。
+  2. 实体模型扩展：`TrainDormAuth.java`（新增业务状态与凭据常量、双向状态映射、版本控制属性）。
+  3. 服务层编排扩展：`ITrainDormAuthService/Impl`（实现 `ensureAuthorizationForAccommodation`、`updateAuthStatusByPoller` 并植入迟到保护）。
+  4. 安全凭据生成器：`SecurePasswordGenerator.java`（`SecureRandom` 强随机、6 位纯数字、内存局部留存、杜绝弱密码）。
+  5. 统一编排器：`AccessAuthorizationOrchestrator.java`（状态驱动对账 `reconcile`，解耦业务事件时序，短事务解耦外部 HTTP，最少特权单主锁策略，调房先新后旧）。
+  6. 异步轮询器联动推进：`DmsOperationPoller.java`（集成授权状态联动，根据最新操作归属安全更新业务授权状态）。
+  7. 业务事件安全挂接：`TrainAccommodationServiceImpl.java`（分房/退宿/调房）、`EnrollmentAppServiceImpl.java`（报到确认）、`EnrollmentPlanCompletionAdapter.java`（计划结训），异常不回滚本地业务主事务。
+  8. 迁移契约测试：`DormAuthorizationOrchestrationMigrationContractTest.java` (4 项)。
+  9. 端到端编排测试：`AccessAuthorizationOrchestrationTest.java` (9 项)。
+  10. 业务事务独立性与安全扫描：`BusinessTransactionIndependenceTest.java` (5 项)。
+- **全量构建与回归验收**：
+  - `ruoyi-train`: 219 tests
+  - `ruoyi-admin`: 32 tests
+  - 总计：251 tests, Failures = 0, Errors = 0, Skipped = 0，全部通过。
+  - Maven `clean test` 与 `clean package` 构建成功。
+  - 静态检查：`git diff --check` PASS。
+- **环境纪律与准入门禁**：
+  - `LIVE_DMS_REQUEST_COUNT = 0`。
+  - `FRONTEND_MODIFIED = 0`，`CONTROLLER_COUNT = 0`。
+  - `008_RUNTIME_FIRST_RUN = NOT_EXECUTED`，`008_RUNTIME_SECOND_RUN = NOT_EXECUTED`。
+  - `009_RUNTIME_FIRST_RUN = NOT_EXECUTED`，`009_RUNTIME_SECOND_RUN = NOT_EXECUTED`。
+  - `RUNTIME_MIGRATION_GATE_BEFORE_PRODUCTION = REQUIRED`。

docs/development/dms-r3/13_open_questions.md

@@ -55,3 +55,35 @@
 2. **真实环境 Sandbox 账号**：本 Wave 严格使用 `MockDmsServer` 动态模拟，不依赖真实 DMS 沙箱。
 3. **真实错误码全集**：通过 `DmsOperationPoller.ERROR_CATEGORY_*` 抽象通用错误分类（AUTH_ERROR, NETWORK_ERROR, VENDOR_BUSINESS_ERROR, DEVICE_FAILED, DEVICE_TIMEOUT），兼容未知供应商错误。
 4. **Token Cookie 头名称**：在 `DmsProperties.tokenCookieName` 中参数化配置（默认 "token"），杜绝写死猜测。
+
+---
+
+## 5. Wave 3A 编排层冻结之核心待决问题清单 (Wave 3A Open Questions Frozen)
+在 Wave 3A 业务授权编排层落地过程中，以下 6 项核心业务与供应商技术问题被明确固化为待决事项，严禁以实现猜测替代业务确认：
+
+### A. 学员请假是否自动撤销门禁 (`LEAVE_AUTO_REVOKE_POLICY = OPEN_QUESTION`)
+- **现状**：学员请假（`status = 2`）时，当前编排器严格判定为 `NO_ACTION`，保持门禁现状不撤权。
+- **业务争议**：请假期间学员个人物品仍存放于宿舍内，若自动撤销门禁，请假归来或中途取物无法进门；若不撤权，存在请假外出期间他人冒用或公寓安防真空。
+- **待确认**：需公寓管理部门与培训业务处明确出台请假门禁管理细则。
+
+### B. 在线密码交付与重置恢复策略 (`ONLINE_PASSWORD_DELIVERY_AND_RECOVERY_POLICY = OPEN_QUESTION` / `CREDENTIAL_DELIVERY_POLICY = OPEN_QUESTION`)
+- **现状**：出于安全红线，系统对生成的 6 位纯数字密码明文执行零落库、零日志、零异常信息泄漏。
+- **业务争议**：若系统数据库不持久化明文或可逆密文，当学员忘记密码、网络短信发送失败或管理员需要现场协助开门时，“管理员在哪里看到密码？”、“学员如何再次获取密码？”。
+- **待确认**：在正式 Sandbox 联调前，需业务部门评审确认是采用“非对称加密临时暂存/查看二次鉴权”，还是“支持随时一键作废重置并重新下发新密码”。
+
+### C. 最终门锁选择策略是否仅限单主锁 (`LOCK_SELECTION_POLICY = PRIMARY_LOCK_ONLY`)
+- **现状**：Wave 3A 依据 Least Privilege 原则，严格落地 `PRIMARY_LOCK_ONLY`（0主锁阻断/1主锁放行/多主锁配置错误阻断/次锁不自动发码）。
+- **业务争议**：部分宿舍可能存在套间结构（外防盗门 + 内卧室门），是否最终所有套间锁均需要自动同步下发密码（即未来 `ALL_REQUIRED_LOCKS`）。
+- **待确认**：待实际宿舍楼栋智能门锁安装布设拓扑确定后终审。
+
+### D. 真实 DMS Cookie 名称 (`TOKEN_COOKIE_NAME = VENDOR_CONFIRMATION_REQUIRED`)
+- **现状**：供应商文档未正式声明传输 Cookie 的 Key 名称，代码中参数化配置为 `token`。
+- **待确认**：需供应商技术人员书面核实 HTTP 请求头中的 Cookie 名称（如 `token`、`JSESSIONID`、`DMS_TOKEN` 等）。
+
+### E. 设备离线 validUntil 与硬件 RTC 时钟漂移语义 (`DMS_LOCK_OFFLINE_EXPIRY_SEMANTICS = NEEDS_VENDOR_CONFIRMATION`)
+- **现状**：系统在培训结训时统一执行主动撤权为主、有效期边界为辅策略。
+- **待确认**：门锁处于断网、断电或电池耗尽更换电池导致 RTC 时钟重置时，离线本地密码过期判断的物理保证级别。
+
+### F. 供应商沙箱联调账号与项目信息 (`DMS_SANDBOX_ENVIRONMENT = VENDOR_CONFIRMATION_REQUIRED`)
+- **现状**：Wave 3A 严格在全内存 MockDmsServer 下执行 Dry-Run。
+- **待确认**：供应商提供正式可连通公网测试沙箱环境的 `app_id`、`app_secret`、`project_id` 及测试门锁硬件。

docs/development/dms-r3/14_decision_summary.md

@@ -194,3 +194,55 @@
   - `008_RUNTIME_FIRST_RUN = NOT_EXECUTED`，`008_RUNTIME_SECOND_RUN = NOT_EXECUTED`。
   - `RUNTIME_MIGRATION_GATE_BEFORE_PRODUCTION = REQUIRED`。
   - `COMMIT? NO`，`PUSH? NO`，`DEPLOY? NO`（严格 HOLD 等待审查）。
+
+### 6.5 Wave 3A Access Authorization Orchestration Dry-Run (Wave 3A implemented against Mock DMS only)
+- **阶段状态**：`R3_WAVE3A_STATUS = PASS`。
+- **架构与模型扩展**：
+  - `AUTH_SCHEMA_SUFFICIENT = NO`（基线 `train_dorm_auth` 缺失凭据类型、细粒度状态、关联操作流水ID及版本号）。
+  - `009_MIGRATION_REQUIRED = YES`。
+  - `009_MIGRATION_FILE` = `RuoYi-Vue/sql/system/kingbase/009_dorm_authorization_orchestration.sql`（安全编号 009，幂等增量，纯非破坏性，零明文密钥）。
+  - `AUTHORIZATION_STATUS_MODEL` = `PENDING_GRANT / GRANTING / ACTIVE / PENDING_REVOKE / REVOKING / REVOKED / ERROR`（厂商中立领域授权生命周期）。
+  - `CREDENTIAL_TYPE_MODEL` = `ONLINE_PASSWORD`（未来可扩展 QR, CARD, MOBILE_KEY）。
+  - `VALIDITY_WINDOW_SOURCE` = `BUSINESS_POLICY_REQUIRED`（一期从培训计划与住宿业务时间推导，未决策略显式记录）。
+- **统一编排与驱动机制**：
+  - `RECONCILIATION_MODEL` = `AccessAuthorizationOrchestrator.reconcile(enrollmentId)`（状态驱动对账，解耦业务事件发生顺序）。
+  - `GRANT_PRECONDITIONS` = `Enrollment status=1 (已报到) + Active Accommodation (status 0/1) + Active Room Mapping + Exactly 1 Primary DoorLock Mapping + 有效期可推导`。
+  - `REPORT_CONFIRM_TRIGGER` = `reconcile(enrollmentId)`（报到核验通过后驱动，异步对账）。
+  - `ACCOMMODATION_TRIGGER` = `reconcile(enrollmentId)`（分配或激活住宿后驱动）。
+  - `REPORT_CONFIRM_EXTERNAL_FAILURE_ROLLBACK` = `NO`（外部网络/DMS 失败绝不回滚报到主事务）。
+  - `LOCK_SELECTION_POLICY` = `PRIMARY_LOCK_ONLY`（Least Privilege 原则，严格锁定唯一定义的主门锁发码，0主锁与多主锁阻断）。
+  - `RECONCILE_IDEMPOTENT` = `YES`（多事件/重复报到触发多次 reconcile 结果幂等，无重复授权、无重复发码）。
+- **状态流转与时序保护**：
+  - `GRANT_HTTP_SUCCESS_MARKS_ACTIVE` = `NO`（HTTP 受理仅标记为 GRANTING/ACCEPTED，Poller 确认后方推进 ACTIVE）。
+  - `GRANT_SUCCESS_RESULT` = `ExternalOperation=SUCCESS, DoorAuthorization=ACTIVE`。
+  - `GRANT_FAILED_RESULT` = `ExternalOperation=FAILED, DoorAuthorization=ERROR (保留上下文待重试)`。
+  - `GRANT_TIMEOUT_RESULT` = `ExternalOperation=TIMEOUT, DoorAuthorization=ERROR (保留上下文待重试)`。
+  - `REVOKE_SUCCESS_RESULT` = `ExternalOperation=SUCCESS, DoorAuthorization=REVOKED`。
+  - `REVOKE_FAILED_RESULT` = `ExternalOperation=FAILED, DoorAuthorization=ERROR/REVOKING`。
+  - `STALE_OPERATION_RESULT_GUARD` = `LATEST_OPERATION_OWNERSHIP_AND_VERSION_CHECK`（防迟到旧操作结果覆盖已推进的新状态）。
+  - `LONG_DB_TRANSACTION_AROUND_HTTP` = `NO`（本地短事务写库 -> 外部调用 -> 本地短事务更新，绝不用长事务包裹网络 IO）。
+- **换房调宿与高可用**：
+  - `TRANSFER_POLICY` = `GRANT_NEW_THEN_REVOKE_OLD`（先下发新宿舍门禁，对账确认 ACTIVE 后才撤销旧宿舍）。
+  - `TRANSFER_FAILURE_PRESERVES_OLD_ACCESS` = `YES`（新宿舍发码失败严格保留旧宿舍门禁，保障学员可用性）。
+  - `TRANSFER_DUAL_ACCESS_WINDOW` = `ACKNOWLEDGED_FOR_AVAILABILITY`（可用性优先，审计留痕）。
+- **凭据安全与零泄露**：
+  - `PASSWORD_GENERATOR` = `SecurePasswordGenerator`（`SecureRandom` 强随机、6 位纯数字、杜绝弱密码）。
+  - `PLAINTEXT_PASSWORD_PERSISTENCE_COUNT` = `0`（数据库、流水表、日志、异常栈、toString 全链路零明文留存）。
+- **未决业务与环境门禁**：
+  - `CREDENTIAL_DELIVERY_POLICY` = `OPEN_QUESTION`。
+  - `LEAVE_AUTO_REVOKE_POLICY` = `OPEN_QUESTION`。
+  - `TOKEN_COOKIE_NAME` = `VENDOR_CONFIRMATION_REQUIRED`。
+  - `LIVE_DMS_REQUEST_COUNT` = `0`（100% Mock DMS 验证）。
+  - `FRONTEND_MODIFIED` = `0`。
+- **全量测试指标**：
+  - `OLD_TEST_COUNT = 233`
+  - `NEW_TEST_COUNT = 18`
+  - `TOTAL_TEST_COUNT = 251` (ruoyi-train: 219, ruoyi-admin: 32)
+  - `FAILURES = 0`，`ERRORS = 0`，`SKIPPED = 0`。
+  - `MAVEN_TEST = SUCCESS`，`MAVEN_PACKAGE = SUCCESS`。
+  - `git diff --check = PASS`。
+- **环境纪律与迁移标记**：
+  - `008_RUNTIME_FIRST_RUN = NOT_EXECUTED`，`008_RUNTIME_SECOND_RUN = NOT_EXECUTED`。
+  - `009_RUNTIME_FIRST_RUN = NOT_EXECUTED`，`009_RUNTIME_SECOND_RUN = NOT_EXECUTED`。
+  - `RUNTIME_MIGRATION_GATE_BEFORE_PRODUCTION = REQUIRED`。
+  - `COMMIT? NO`，`PUSH? NO`，`DEPLOY? NO`（严格 HOLD 等待审查）。