R21/R22: 补齐公网安全文档 试点观测与最小导入脚本

docs/admin-handbook.md

@@ -80,3 +80,35 @@
 2. 每周五在 `deploy/trialrun/observation-template.md` 填写本周结论、关键阻塞、是否需要调整提醒或导航。
 3. 若某周有员工未登录、未提周报、未更新状态，优先通过公告或站内通知补提醒，不引入额外表格。
 4. 连续 4 周都达到预期后，再将 `R17-6` 关单并形成最终验收结论。
+
+## 12. 企业微信入口与登录策略
+- 建议把企业微信定位为 `入口 + 提醒 + 可选免登`，不要在企业微信里再维护第二套审批或项目录入路径。
+- 默认工作台入口落到 `/portal`，员工真正操作仍在 `hyb-oa` 内完成。
+- 企微免登建议先完成账号绑定，再逐步在试点部门开启；任何时候都保留账号密码回退。
+- 若 OA 部署到公网，生产建议同时满足：`HTTPS`、`COOKIE_SECURE=true`、登录失败锁定、限流、审计开启。
+
+## 13. 轻项目管理使用建议
+- 项目主档只做轻量管理：成员、里程碑、任务、风险、交付记录、合同台账与资料引用。
+- 不要把 `hyb-oa` 推成完整项目组合平台；甘特图、资源排产、CRM 仍不在本主线。
+- 员工日常动作建议统一挂项目：
+  - 差旅申请挂项目
+  - 报销单挂项目
+  - 周报按项目拆分进展
+  - 待办可直接挂项目
+- 管理层每周主要查看 `项目` 页中的逾期里程碑、高优任务、风险与费用/出差汇总，而不是再维护第二套项目台账。
+
+## 14. 涉密边界
+- `hyb-oa` 只记录涉密合同或资料的元数据：编号、责任人、密级、归档位置、离线档案号。
+- 涉密正文、涉密附件、详细报价/成本/毛利、敏感客户资料不进入公网 OA。
+- 企业微信通知不得发送涉密正文，只保留最小必要信息和 deeplink。
+- 如项目被标记为涉密，管理员应要求正文继续保存在内网文件盘、NAS 或离线档案中。
+
+## 15. 公网部署最低建议
+1. 为 OA 配置独立 HTTPS 域名，例如 `https://oa.example.com`。
+2. 在 `deploy/trialrun/.env` 中设置：
+   - `APP_ORIGIN=https://oa.example.com`
+   - `COOKIE_SECURE=true`
+   - `PUBLIC_SECURITY_HARDENING_ENABLED=true`
+3. 若启用企业微信入口，补齐：`WECOM_*` 与 `WECOM_ALLOWED_RETURN_HOSTS`。
+4. 将 `OPENAPI_DOCS_ENABLED` 保持为 `false`，不要在公网生产暴露文档入口。
+5. 定期检查审计日志中的登录失败、Refresh 来源不匹配与涉密资料查看记录。