记录(08-08-production-authenticated-readiness): 收敛员工负向验收目标

.trellis/tasks/08-08-production-authenticated-readiness/implement.md

@@ -45,6 +45,15 @@
 - [x] employee：非管理员 employee 候选 5、passwordMatchCount=0，无法在不猜人的情况下选定验收账号。
 - [x] 未把正确管理员 identifier 写入 task、对话或仓库，也未修改仓库外 secret；密码重置/员工账号选择转为独立批准事项。
 
+员工负向目标资格补充诊断：
+
+- [x] 重新通过生产 origin 与 systemd contract 身份门禁后，在运行容器内用 `BEGIN READ ONLY` 查询 5 个活跃非管理员候选；事务只读状态为 `on`，未调用登录端点。
+- [x] 5 个候选的登录 identifier 均已就绪、当前锁定数为 0、失败计数均为 0；其中 1 个具备合同管理权限，3 个仍要求首次改密。
+- [x] 以“可进入只读合同工作区、无合同管理权限、无需首次改密、未锁定”为资格合同，恰好 1 个候选通过，员工负向目标已从 5 个收敛为唯一 1 个；未输出 identifier、账号、角色明细或数据库 ID。
+- [x] 使用运行容器内 `repair-oa-only-smoke-accounts.js` 的既有 smoke 安全判据对唯一目标分类：账号自身命名模式命中、私有 smoke allowlist 未命中，结论为专用 OA-only smoke 账号，不是真人员工；未输出命中的原始字段。
+- [x] 本次未注入或比较任何密码，不把此前 `passwordMatchCount=0` 伪装为本轮现场结果；当前事实是目标已唯一，但仍缺少已确认有效的仓库外凭据，employee attempts 继续为 0。
+- [x] 资格诊断 PRE/POST 与 smoke 分类后的最终 POST 均为 `terminatedRows=0`、`rollbackWindow=OPEN`；未产生账号、权限、合同、session、审计或失败计数写入。
+
 自助密码重置可用性只读核对：
 
 - [x] 运行容器 `EMAIL_ENABLED=false`；公网 `/api/auth/capabilities` 独立返回 `emailDeliveryReady=false`、原因 `email_disabled`。
@@ -61,9 +70,9 @@
 
 - [x] 管理员凭据来源已切换：来自已归档 `08-09-production-admin-break-glass-reset` 的受控 break-glass 恢复和首次强制改密，不是本任务最初诊断为失效的原始 secret；值不进入任务证据。
 - [x] admin 只执行一次登录、零 retry，HTTP 200 并进入 `/portal`；写后只读复核为 failureCount=0、locked=false、近 15 分钟 login success=1、login failure=0。
-- [ ] PAUSED：employee 目标账号不唯一，现有验收密码不匹配任何活跃非管理员候选；本轮不选择、重置或修改员工账号。
+- [ ] PAUSED：employee 目标账号已由只读资格合同唯一确定并分类为专用 OA-only smoke 账号，但没有该目标的已确认有效凭据；本任务不重置或修改员工账号，后续生产写入须另设 break-glass task。
 - [x] admin attempts=1；未发生第二次登录。浏览器在合同台账阶段 fail-closed 后关闭，未到达正常 logout；active sessions 从恢复后的 1 变为 2，新增会话留待自然过期，本任务未获直接数据库撤销授权。
-- [ ] PAUSED：employee 未登录，attempts=0。
+- [ ] PAUSED：employee 未登录，attempts=0；目标唯一性阻塞已解除，剩余阻塞仅为有效凭据缺失。
 - [x] 已记录 admin attempts=1、employee attempts=0；没有第二次尝试，管理员失败计数仍为 0 且未锁定。
 
 ### Phase D：登录态只读验收
@@ -108,4 +117,4 @@
 
 ## 6. 当前结论
 
-生产只读基线与账号诊断已执行，独立任务 `08-09-production-admin-break-glass-reset` 已恢复管理员认证。管理员本轮唯一一次登录返回 200，失败计数仍为 0 且未锁定；但生产合同总数为 0，无法验证详情、终止入口、归档锁定或已终止标签，未制造样本。仓库事实源不能证明零合同属于预期未启用，后续由负责人确认其运营含义；一旦生产出现首条记录，即触发只读补验。员工目标仍不唯一，负向权限未验证。凭据恢复后的 PRE/POST 与此前四次快照全部 OPEN/0，terminate POST 和合同 mutation 均为 0。当前结论为管理员认证通过、合同 UI 因无数据 `PAUSED`、员工负向 `PAUSED`；仍不得告知用户可以测试合同终止功能。
+生产只读基线与账号诊断已执行，独立任务 `08-09-production-admin-break-glass-reset` 已恢复管理员认证。管理员本轮唯一一次登录返回 200，失败计数仍为 0 且未锁定；但生产合同总数为 0，无法验证详情、终止入口、归档锁定或已终止标签，未制造样本。仓库事实源不能证明零合同属于预期未启用，后续由负责人确认其运营含义；一旦生产出现首条记录，即触发只读补验。员工负向目标已通过资格诊断从 5 个候选收敛为唯一 1 个，并确认是专用 OA-only smoke 账号而非真人员工，但缺少已确认有效凭据，负向权限仍未验证。smoke 分类后的最终 POST 仍为 OPEN/0，本任务累计九次窗口快照全部 OPEN/0，terminate POST 和合同 mutation 均为 0。当前结论为管理员认证通过、合同 UI 因无数据 `PAUSED`、员工负向因凭据缺失 `PAUSED`；仍不得告知用户可以测试合同终止功能。