交接(08-10-production-employee-smoke-break-glass-reset): 恢复员工负向验收

.trellis/tasks/08-08-production-authenticated-readiness/implement.md

@@ -1,6 +1,6 @@
 # 生产登录态只读验收：执行计划与证据
 
-> 当前状态：IN PROGRESS / ADMIN LOGIN READY。生产只读基线与扩展账号诊断已完成；管理员认证已由独立任务 `08-09-production-admin-break-glass-reset` 恢复并写入仓库外 secret，员工 identity 仍不唯一且密码匹配数为 0。
+> 当前状态：IN PROGRESS / EMPLOYEE LOGIN READY。生产只读基线与扩展账号诊断已完成；管理员认证已由独立任务 `08-09-production-admin-break-glass-reset` 恢复，员工认证已由独立任务 `08-10-production-employee-smoke-break-glass-reset` 恢复并写入仓库外 secret。合同 UI 仍因生产零合同等待事件触发补验。
 
 ## 1. 规划确认
 
@@ -69,10 +69,12 @@
 ### Phase C：有限登录（仅凭据合法恢复后）
 
 - [x] 管理员凭据来源已切换：来自已归档 `08-09-production-admin-break-glass-reset` 的受控 break-glass 恢复和首次强制改密，不是本任务最初诊断为失效的原始 secret；值不进入任务证据。
+- [x] 员工凭据来源已切换：来自 `08-10-production-employee-smoke-break-glass-reset` 的受控 break-glass 恢复和首次强制改密，不是本任务最初诊断为失效的原始 secret；最终 secret 已就绪且值不进入任务证据。
+- [x] 08-10 最终交接证明目标仍唯一、`rolesExact=true`，`*`、`project.manage`、`project.view_all`、`system.settings` 四项权限全 false；该结论只解除凭据阻塞，不替代本任务的生产登录态负向验收。
 - [x] admin 只执行一次登录、零 retry，HTTP 200 并进入 `/portal`；写后只读复核为 failureCount=0、locked=false、近 15 分钟 login success=1、login failure=0。
-- [ ] PAUSED：employee 目标账号已由只读资格合同唯一确定并分类为专用 OA-only smoke 账号，但没有该目标的已确认有效凭据；本任务不重置或修改员工账号，后续生产写入须另设 break-glass task。
+- [ ] READY：employee 最终凭据已由 08-10 合法恢复，负向前提仍成立；本任务下一步按单 worker、零 retry执行一次登录和合同权限负向，不扩大权限、不切换管理员身份。
 - [x] admin attempts=1；未发生第二次登录。浏览器在合同台账阶段 fail-closed 后关闭，未到达正常 logout；active sessions 从恢复后的 1 变为 2，新增会话留待自然过期，本任务未获直接数据库撤销授权。
-- [ ] PAUSED：employee 未登录，attempts=0；目标唯一性阻塞已解除，剩余阻塞仅为有效凭据缺失。
+- [ ] READY：employee 尚未在本任务登录，attempts=0；目标唯一性与凭据阻塞均已解除，等待执行本任务既有负向验收步骤。
 - [x] 已记录 admin attempts=1、employee attempts=0；没有第二次尝试，管理员失败计数仍为 0 且未锁定。
 
 ### Phase D：登录态只读验收