WEXT1F 增加正式模板外出加班取证门禁

docs/需求-统一审批中心规约.md

@@ -456,7 +456,11 @@ WTCLOSE2F 后，企业微信审批相关业务证据必须来自部署服务器
 
 - WREMOTE1 先部署/同步代码并执行 `bash scripts/qa/run-wecom-test-account-final-closeout.sh --remote`；全域 smoke 使用 `WFULLSMOKE_ALLOW_PUBLIC_WRITES=1 bash scripts/qa/run-three-day-full-goal-smoke.sh --remote`。
 - WEXT1-FORMAL 人工操作为 `SMOKE002` 在正式外出、加班模板提交低风险测试单，`SMOKE101` 先打开详情页再审批。
+- 系统只读校验 runner 为 `WEXT1F_MANUAL_CONFIRMATION=SMOKE002_SUBMITTED_SMOKE101_REVIEWED bash scripts/qa/run-wecom-formal-outing-overtime-evidence.sh --remote`；只能从部署服务器可信 IP 执行。本地直接执行必须拒绝业务运行，缺少人工确认标记时不得跑企微 API。
+- 该 runner 显式使用 `--target=outing --target=overtime` 拉取正式模板外出/加班详情，并同时设置 `--filter-creator-employee-no=SMOKE002`；默认请假/补卡巡检范围不得因此扩大，也不得按正式模板 ID 宽泛读取同模板其他员工单据。
+- OA 归档写入只允许走既有双开关：`WECOM_ARCHIVE_WRITE=1` + `--persist-to-db`；这只写 OA 自建留存库，不写企业微信。
 - 系统只读校验为补偿拉取、审批详情读取、OA 归档读取、WRULE1 审批链校验和隐私扫描；不得调用创建模板、提交审批或其他企微写接口。
+- WEXT1F 结论限定为 `PASS_FORMAL_OUTING_OVERTIME_READY`、`PASS_WITH_FINDINGS`、`PAUSED_MANUAL_CONFIRMATION` 或 `SKIP/BLOCKED_BY_EXTERNAL_CONFIG`。
 - 若正式模板出现申请人可任意改审批人、自审、审批人不一致、可见范围或可信 IP 阻断，结论记录为 blocking finding，不进入 WREAL1。
 - WREAL1 真实员工和审批人信息只通过 `/tmp/hyb-oa-wreal1.env` 临时文件提供，不写入 Issue CSV、仓库文档或聊天。