G1-G5 同步正式审批组织与移动交互规约

docs/admin-handbook.md

@@ -15,6 +15,10 @@
 2. 首批主路径优先保留：`Portal`、`审批待办`、`报销`、`票据/OCR`、`请假`、`项目`、`采购/费用`、`合同/附件`。
 3. `团队状态`、`周报`、`待办`、`公告`、`人员`、`资产` 可按真实试运行需要开启；`预算`、`支付批次`、`AP 运营`、`ERP`、`AI`、完整差旅能力默认作为管理员备用或历史能力，不作为当前 MVP 首批主线。
 4. 在 `用户管理` 中按推荐预设配置：老板 / 管理员 / 主管 / 员工。
+   - 正式审批组织口径：`majianyong` 配置为员工可见直属主管和 `manager`；`wangshunli` 配置为后台公司负责人 `ceo + admin`，不配置为普通 `manager`。
+   - 普通员工和专用测试员工的直属主管配置为 `majianyong`；`majianyong` 的直属领导配置为 `wangshunli`。
+   - `admin` 只代表系统管理权限，不代表业务审批权；需要业务审批时必须配置 `manager`、`ceo`、`finance`、`hr` 等正式业务角色。
+   - 缺直属主管、主管停用、主管链断裂或审批节点解析到申请人本人时，应先修正组织或审批规则，不要用管理员账号代批。
 5. 检查功能开关：
    - 建议开启：`portal_home_v1`、企业微信入口相关开关、报销/OCR、审批待办、请假和项目基础能力。
    - 按需开启：`announcements_v1`、`presence_board_v1`、`weekly_report_v1`、`employee_lifecycle_v1`、`todo_board_v1`、`global_search_v1`。
@@ -163,7 +167,7 @@
 3. 若启用企业微信入口，补齐：`WECOM_*` 与 `WECOM_ALLOWED_RETURN_HOSTS`。
 4. 将 `OPENAPI_DOCS_ENABLED` 保持为 `false`，不要在公网生产暴露文档入口。
 5. 定期检查审计日志中的登录失败、Refresh 来源不匹配与涉密资料查看记录。
-6. 准备独立 smoke 账号，不使用老板、管理员或真实员工账号跑自动化。
+6. 准备独立 smoke 账号，不使用老板、管理员或真实员工日常账号跑自动化；smoke 账号的角色和直属上级应按正式审批链配置。
 7. 每次正式发布前记录备份文件名、恢复负责人和上个可回滚 tag。
 
 ## 17. 网页自动化门禁（R28/R30）