feat: R27-2 R27-5 优化企微入口与 Portal 体验

docs/admin-handbook.md

@@ -87,6 +87,27 @@
 - 企微免登建议先完成账号绑定，再逐步在试点部门开启；任何时候都保留账号密码回退。
 - 若 OA 部署到公网，生产建议同时满足：`HTTPS`、`COOKIE_SECURE=true`、登录失败锁定、限流、审计开启。
 
+### 正式接入最小步骤
+1. 在企业微信管理后台创建或编辑自建应用。
+2. 将工作台入口配置为：`https://oa.hyinda.com/api/auth/wecom/login?returnTo=%2Fportal`。
+3. 将 OAuth 回调地址配置为：`https://oa.hyinda.com/api/auth/wecom/callback`。
+4. 在 `deploy/trialrun/.env` 中补齐并开启：
+   - `WECOM_ENABLED=true`
+   - `WECOM_ENTRY_ENABLED=true`
+   - `WECOM_OAUTH_ENABLED=true`
+   - `WECOM_CORP_ID=...`
+   - `WECOM_AGENT_ID=...`
+   - `WECOM_AGENT_SECRET=...`
+   - `WECOM_REDIRECT_URI=https://oa.hyinda.com/api/auth/wecom/callback`
+   - `WECOM_ALLOWED_RETURN_HOSTS=oa.hyinda.com`
+5. 先让管理员用账号密码登录，在 `个人设置` 完成一次绑定，再测试企业微信工作台直达。
+
+### 员工会看到的典型状态
+- 未绑定：登录页会提示“当前企业微信账号尚未绑定”，回退到账号密码登录。
+- 已绑定：从企业微信工作台进入后直接落到 `Portal`。
+- 入口未开放：个人设置仍可绑定，但登录页不会把企业微信作为正式入口展示。
+- 配置不完整：个人设置会明确提示缺少 `CorpID / AgentID / 回调地址` 等原因。
+
 ## 13. 轻项目管理使用建议
 - 项目主档只做轻量管理：成员、里程碑、任务、风险、交付记录、合同台账与资料引用。
 - 不要把 `hyb-oa` 推成完整项目组合平台；甘特图、资源排产、CRM 仍不在本主线。