WAPC2F 实现企微审批样件 dry-run

docs/企微优先开发路线图.md

@@ -2,10 +2,10 @@
 
 **文档状态**：当前开发路线图事实源。  
 **分类**：开发治理 / 路线图。  
-**适用时间**：WDRG / WCP1 / WHMSLIVE / WOUA / WAPI / WRRA / WOUA-FIX / WRV1 / WRA1 / WMSG1 / WAPC1 / WAPC2 / WPROC1 / WPROC2 之后。
-**关联 Issue**：`WDRG,WCP1,WHMS,WHMSLIVE,WOUA,WAPI,WRRA,WOUAFIX,WRV1,WRA1,WMSG1,WAPC1,WAPC2,WPROC1,WPROC2`。
+**适用时间**：WDRG / WCP1 / WHMSLIVE / WOUA / WAPI / WRRA / WOUA-FIX / WRV1 / WRA1 / WMSG1 / WAPC1 / WAPC2 / WPROC1 / WPROC2 / WAPC2F 之后。
+**关联 Issue**：`WDRG,WCP1,WHMS,WHMSLIVE,WOUA,WAPI,WRRA,WOUAFIX,WRV1,WRA1,WMSG1,WAPC1,WAPC2,WPROC1,WPROC2,WAPC2F`。
 **最近审计**：2026-05-19。
-**不得误读**：本文只控制后续开发节奏、阶段顺序和门禁。WHMSLIVE 后只代表企微 HR 主数据镜像已部署并受控验证；WAPI 后进一步固定企微 API/Secret 口径并转为运行优先；WRRA 后明确 `PASS_WITH_FINDINGS` 只代表只读对账成功且存在差异，不代表企微考勤/审批镜像、OA 应急接管、恢复回写或 RuleOps 已完成运行时实现。WMSG1 只证明企业微信应用消息可达和 Deeplink 可回到 OA；WAPC1 只固化审批配置准备清单；WAPC2 只新增请假/补卡模板详情和低风险 `sp_no` 审批详情只读 POC，不代表真实回调或镜像能力已完成。WPROC1 后，WAPC2 不直接放行深度镜像，必须先完成自动样件、回调、补偿拉取和镜像数据模型设计门禁。WPROC2 只新增可执行 process gate，不实现 WAPC2F 业务能力。
+**不得误读**：本文只控制后续开发节奏、阶段顺序和门禁。WHMSLIVE 后只代表企微 HR 主数据镜像已部署并受控验证；WAPI 后进一步固定企微 API/Secret 口径并转为运行优先；WRRA 后明确 `PASS_WITH_FINDINGS` 只代表只读对账成功且存在差异，不代表企微考勤/审批镜像、OA 应急接管、恢复回写或 RuleOps 已完成运行时实现。WMSG1 只证明企业微信应用消息可达和 Deeplink 可回到 OA；WAPC1 只固化审批配置准备清单；WAPC2 只新增请假/补卡模板详情和低风险 `sp_no` 审批详情只读 POC，不代表真实回调或镜像能力已完成。WPROC1 后，WAPC2 不直接放行深度镜像，必须先完成自动样件、回调、补偿拉取和镜像数据模型设计门禁。WPROC2 只新增可执行 process gate。WAPC2F 当前只证明 OA-POC 请假/补卡样件 dry-run payload、非自审预检和公网 dry-run 可用；未真实创建企微模板或审批单，未自动复跑真实 WAPC2，仍不放行深度镜像。
 
 ## 1. 路线图原则
 
@@ -37,6 +37,7 @@
 | `WAPC2` | 已部署并公网只读复跑 | 新增 QA-only `npm run check:wecom-approval-poc`，范围先锁定请假和补卡；固定 `WECOM_AGENT_SECRET` 调用 `POST /cgi-bin/oa/gettemplatedetail` 与 `POST /cgi-bin/oa/getapprovaldetail`，报告只输出脱敏模板 ID/`sp_no` 前缀、字段/节点计数和错误分类。公网报告 `/app/artifacts/qa-flow/wecom-approval-poc-20260519T020429Z/summary.json` 为 `PARTIAL_APPROVAL_POC_NEEDS_CONFIG`：Secret 可用，但缺请假/补卡模板 ID 和两条低风险 `sp_no`，未伪造成 PASS。 |
 | `WPROC1` | 路线与流程门禁已修正 | 固化三层门禁、Definition of Ready、Definition of Done、自动化优先和非自审规则。后续路线调整为 `WAPC2 -> WAPC2F 自动生成 POC 样件 -> WAPC2 自动复跑 -> WCBK1 回调只读 POC -> WACP3 补偿拉取 POC -> WADM1 镜像数据模型设计 -> wecom_attendance_approval_mirror_v1`。WAPC2F 默认测试链为 `SMOKE002 -> SMOKE101`，若 `SMOKE101` 不可用，不自动换人，先问答确认。 |
 | `WPROC2` | 流程自动化门禁已新增 | 新增 `scripts/qa/check-process-contract.mjs`，把 WPROC1 的三层门禁、DoR/DoD、自动化优先、非自审、Secret 固定、live 写入开关、缺配置分类和脱敏边界升级为可执行 process gate；WAPC2F 实施前必须先通过 baseline gate 和 `wecom-approval-fixture` profile。 |
+| `WAPC2F` | 已实现并公网 dry-run 通过 | 新增 QA-only `npm run check:wecom-approval-fixtures`，固定 `WECOM_AGENT_SECRET` 构建 OA-POC 请假/补卡最小通用模板和低风险审批申请 payload；默认 dry-run 不获取写入 token、不调用企微写接口。公网报告 `/app/artifacts/qa-flow/wecom-approval-fixtures-20260519T045001Z/summary.json` 为 `PASS_FIXTURE_DRY_RUN_READY`：`SMOKE002 -> SMOKE101` active、已绑定、非自审，live 写入未批准且未执行。 |
 
 ## 3. 阶段路线
 
@@ -46,8 +47,8 @@
 | 2 | `wecom_hr_master_sync_v1` | 企微/人事助手员工、部门、主管、职位、联系方式和在职状态镜像到 OA。 | POC 证明人事助手/通讯录读取和回调能力可用，或明确缺口处理方式。 | WHMSLIVE 后已完成本地门禁、部署和受控公网验证；OA 可自动创建/更新员工档案、账号、角色、企微绑定和审计；最终 `force_off`，真实员工批量 apply 仍需单独批准；缺配置时记录 `SKIP/BLOCKED_BY_EXTERNAL_CONFIG`。 |
 | 3 | `runtime_first_wecom_enablement` | 先把已可用企微能力用于系统运行：入口、免登/绑定、脱敏消息、deeplink、通讯录 userid 清单、人事助手读取、打卡读取和只读对账。 | WAPI API 目录和 Secret 矩阵完成；WOUA 按新读取策略复跑。 | WOUA-FIX 后 OA active 缺企微已清零；WRV1/WRA1 通过 `check:wecom-runtime-ready` 给出运行优先结论；WMSG1 已证明真实消息和 Deeplink 可用。`PASS_WITH_CONFIG_GAPS` 只允许继续入口、免登、消息和只读读取主链路，不放行深度镜像；审批模板、测试 `sp_no`、真实回调仍阻断 `wecom_attendance_approval_mirror_v1`。 |
 | 4 | `WAPC1 / WAPC2` | 审批配置准备和请假/补卡模板详情、低风险审批详情只读 POC。 | 运行优先门禁完成；WMSG1 消息和 Deeplink 已确认。 | WAPC2 runner 已部署，缺模板 ID 或 `sp_no` 时真实记录 `PARTIAL_APPROVAL_POC_NEEDS_CONFIG`，不放行深度镜像。 |
-| 5 | `WAPC2F 自动生成 POC 样件` | 尽量用 QA-only runner 自动创建 OA-POC 请假/补卡测试模板和低风险测试审批单。 | WAPC2 已证明 Secret 可用但缺模板或 `sp_no`；WPROC2 baseline gate 和 WAPC2F profile gate 通过；用户批准低风险企微测试样件写入。 | 默认 dry-run；live 写入必须显式开关；申请人 `SMOKE002`、审批人 `SMOKE101` 通过 active、绑定、可见和非自审预检；缺权限或不支持时记录 `SKIP/BLOCKED_BY_EXTERNAL_CONFIG`。 |
-| 6 | `WAPC2 自动复跑` | 使用 WAPC2F 生成的脱敏模板 ID 和 `sp_no` 自动复跑只读 POC。 | WAPC2F 生成全部或部分样件。 | 请假/补卡模板详情与审批详情可读为 `PASS_APPROVAL_POC`；部分缺项为 `PARTIAL_APPROVAL_POC_NEEDS_CONFIG`。 |
+| 5 | `WAPC2F 自动生成 POC 样件` | 尽量用 QA-only runner 自动创建 OA-POC 请假/补卡测试模板和低风险测试审批单。 | WAPC2 已证明 Secret 可用但缺模板或 `sp_no`；WPROC2 baseline gate 和 WAPC2F profile gate 通过；dry-run 先通过；live 写入需用户另行批准。 | 当前已完成 dry-run：`PASS_FIXTURE_DRY_RUN_READY`。下一步若批准 live，必须显式 `--live --create-templates --submit-test-approvals` 且单次进程设置 `WECOM_APPROVAL_FIXTURE_WRITE=1`；申请人 `SMOKE002`、审批人 `SMOKE101` 通过 active、绑定、可见和非自审预检；缺权限或不支持时记录 `SKIP/BLOCKED_BY_EXTERNAL_CONFIG`。 |
+| 6 | `WAPC2 自动复跑` | 使用 WAPC2F 生成的脱敏模板 ID 和 `sp_no` 自动复跑只读 POC。 | WAPC2F live 写入生成全部或部分样件。 | 请假/补卡模板详情与审批详情可读为 `PASS_APPROVAL_POC`；部分缺项为 `PARTIAL_APPROVAL_POC_NEEDS_CONFIG`。当前 dry-run 未生成真实模板 ID 或 `sp_no`，因此未执行真实 WAPC2 自动复跑。 |
 | 7 | `WCBK1 回调只读 POC` | 证明真实回调 URL 验证、验签、解密、幂等键和重复投递处理。 | 回调 URL、Token、EncodingAESKey 由部署环境配置；不得写入仓库或聊天。 | 真实回调可达、可验签/解密、重复投递幂等、失败重试语义明确；缺配置记录 `NEEDS_CONFIG`。 |
 | 8 | `WACP3 补偿拉取 POC` | 证明按时间窗口批量获取审批单号并可拉取审批详情，作为回调丢失补偿。 | WAPC2 或 WAPC2F 至少能提供低风险样例；官方 API 和权限明确。 | 能按窗口拿到审批单号并拉详情；不能伪造成 PASS，权限或可信 IP 问题记录 `SKIP/BLOCKED_BY_EXTERNAL_CONFIG`。 |
 | 9 | `WADM1 镜像数据模型设计` | 先设计镜像字段、状态机、幂等键、索引、隐私保留和回滚方案。 | WAPC2/WAPC2F、WCBK1、WACP3 结论可支撑模型设计。 | 数据模型、状态流、幂等、索引、脱敏、审计和迁移回滚方案经 Issue CSV 固化后，才允许实现镜像。 |
@@ -213,10 +214,10 @@ WAPC2 承接 WAPC1 的配置准备清单，但范围先收窄到请假和补卡
 - 报告输出到 `artifacts/qa-flow/wecom-approval-poc-<timestamp>/summary.json`，只记录类型、配置状态、脱敏 ID 前缀、字段类型计数、审批节点计数和错误分类。
 - 若缺模板 ID 或低风险测试 `sp_no`，结论必须为 `PARTIAL_APPROVAL_POC_NEEDS_CONFIG`；若权限、可信 IP、可见范围、Secret 或企微 API 错误阻断，结论必须为 `SKIP/BLOCKED_BY_EXTERNAL_CONFIG`。
 
-WAPC2 通过后，下一步不是直接进入 `wecom_attendance_approval_mirror_v1`。WPROC1 固定后续必须先做：
+WAPC2 通过后，下一步不是直接进入 `wecom_attendance_approval_mirror_v1`。WPROC1/WAPC2F 固定后续必须先做：
 
-1. `WAPC2F 自动生成 POC 样件`：默认申请人 `SMOKE002`、审批人 `SMOKE101`，两者必须 active、已绑定企微、可见、不是同一 OA 员工且不是同一企微 userid；若 `SMOKE101` 不可用，不自动换人，先问答确认。
-2. `WAPC2 自动复跑`：使用自动生成的脱敏模板 ID 和 `sp_no` 复跑只读 POC。
+1. `WAPC2F 自动生成 POC 样件`：dry-run 已通过；默认申请人 `SMOKE002`、审批人 `SMOKE101`，两者必须 active、已绑定企微、可见、不是同一 OA 员工且不是同一企微 userid；live 创建模板/审批单仍需另行问答批准。
+2. `WAPC2 自动复跑`：只有 live 生成真实模板 ID 和 `sp_no` 后，才使用脱敏模板 ID 和 `sp_no` 复跑只读 POC。
 3. `WCBK1 回调只读 POC`：证明 URL 验证、验签、解密、幂等和重复投递。
 4. `WACP3 补偿拉取 POC`：证明按时间窗口拿到审批单号并可拉取审批详情。
 5. `WADM1 镜像数据模型设计`：先设计字段、状态机、幂等键、索引和隐私保留边界。