feat: R27-2 R27-5 优化企微入口与 Portal 体验

docs/admin-handbook.md

@@ -87,6 +87,27 @@
 - 企微免登建议先完成账号绑定，再逐步在试点部门开启；任何时候都保留账号密码回退。
 - 若 OA 部署到公网，生产建议同时满足：`HTTPS`、`COOKIE_SECURE=true`、登录失败锁定、限流、审计开启。
 
+### 正式接入最小步骤
+1. 在企业微信管理后台创建或编辑自建应用。
+2. 将工作台入口配置为：`https://oa.hyinda.com/api/auth/wecom/login?returnTo=%2Fportal`。
+3. 将 OAuth 回调地址配置为：`https://oa.hyinda.com/api/auth/wecom/callback`。
+4. 在 `deploy/trialrun/.env` 中补齐并开启：
+   - `WECOM_ENABLED=true`
+   - `WECOM_ENTRY_ENABLED=true`
+   - `WECOM_OAUTH_ENABLED=true`
+   - `WECOM_CORP_ID=...`
+   - `WECOM_AGENT_ID=...`
+   - `WECOM_AGENT_SECRET=...`
+   - `WECOM_REDIRECT_URI=https://oa.hyinda.com/api/auth/wecom/callback`
+   - `WECOM_ALLOWED_RETURN_HOSTS=oa.hyinda.com`
+5. 先让管理员用账号密码登录，在 `个人设置` 完成一次绑定，再测试企业微信工作台直达。
+
+### 员工会看到的典型状态
+- 未绑定：登录页会提示“当前企业微信账号尚未绑定”，回退到账号密码登录。
+- 已绑定：从企业微信工作台进入后直接落到 `Portal`。
+- 入口未开放：个人设置仍可绑定，但登录页不会把企业微信作为正式入口展示。
+- 配置不完整：个人设置会明确提示缺少 `CorpID / AgentID / 回调地址` 等原因。
+
 ## 13. 轻项目管理使用建议
 - 项目主档只做轻量管理：成员、里程碑、任务、风险、交付记录、合同台账与资料引用。
 - 不要把 `hyb-oa` 推成完整项目组合平台；甘特图、资源排产、CRM 仍不在本主线。

docs/employee-quickstart.md

@@ -50,6 +50,9 @@
 - 如果公司启用了企业微信工作台入口，优先从企业微信打开 OA。
 - 企业微信只是入口和提醒，真正填写和修改仍在 OA 页面内完成。
 - 如果企业微信免登失败，直接回到账号密码登录即可。
+- 如果你第一次从企业微信进入但看到“尚未绑定”，请不要反复重试，先用账号密码登录，再到 `个人设置 -> 企业微信绑定` 完成绑定。
+- 如果看到“登录已失效 / 已超时”，重新从企业微信工作台进入即可。
+- 日常建议：在企业微信里打开 OA，看 `Portal` 和通知；复杂填写、项目更新、报销与周报仍在 OA 页面里完成。
 
 ## 10. 项目怎么用
 - 如果你是项目成员，优先在 `项目` 页面查看自己的里程碑、任务、风险和交付记录。