R5 重置 smoke 密码并完成自动化 live smoke

docs/trialrun/release-readiness-checklist.md

@@ -11,7 +11,7 @@
 - 主开发合同：`issues/2026-05-09_20-57-19-mvp-mainline-dev-kickoff.csv`，A1-A8 已全部 `DONE/DONE/DONE`。
 - 剩余主线批次合同：`issues/2026-05-10_10-48-03-mvp-remaining-mainline-closeout.csv`，B1-B5 已全部 `DONE/DONE/DONE`。
 - 当前状态：本地门禁已闭环；R4 部署预检、D3 受控同步和 D4 只读复检已完成；公网已部署本轮 release candidate。
-- 当前最大缺口：R5 已启动准入与 readiness 检查，但公网真实账号、企业微信真机和真实 OCR 样票条件仍未闭环，继续按 `SKIP` 处理，R5 尚未完成。
+- 当前最大缺口：R5 公网自动化和真实 OCR 已通过；企业微信真机人工验收尚未执行，因此 R5 尚未完成，R6 仍不能开始。
 
 首轮路线保持不变：OA 是唯一业务主系统和正式审批中心；企业微信只做入口、身份、通知、deeplink 和打卡原始采集边界；不接飞书，不接企业微信原生审批。
 
@@ -81,7 +81,7 @@ R3 审计执行记录见 [`permission-direct-access-audit.md`](permission-direct
 
 部署前只做只读确认，不直接改生产：
 
-2026-05-10 R4/D3/D4 结论：`DONE`。已创建部署前 DB/storage 备份，执行 `bash deploy/trialrun/deploy.sh` 同步远端文件树并完成脚本内置 smoke；部署后只读复检显示关键运行时文件哈希对齐、Prisma migration up to date、`/ready` 200、Caddy 正常、企业微信 config 不返回 secret、公网资源文案扫描 0 findings。R5 仍需真实账号、企业微信真机和真实 OCR 样票后单独执行。
+2026-05-10 R4/D3/D4 结论：`DONE`。已创建部署前 DB/storage 备份，执行 `bash deploy/trialrun/deploy.sh` 同步远端文件树并完成脚本内置 smoke；部署后只读复检显示关键运行时文件哈希对齐、Prisma migration up to date、`/ready` 200、Caddy 正常、企业微信 config 不返回 secret、公网资源文案扫描 0 findings。R5 公网自动化和真实 OCR 已在后续 smoke 密码重置后通过，仍需企业微信真机人工验收后才能关闭。
 
 - 当前生产 commit、部署目录和本地 release candidate 是否一致。
 - 生产 `.env` 必需项是否完整；检查时不得打印 secret。
@@ -140,6 +140,19 @@ LIVE_SMOKE_BASE_URL=https://oa.hyinda.com bash scripts/qa/run-live-smoke-readine
 - smoke 数据只读审计：`SMOKE001/SMOKE002` 均 active，`authSessions=555`，`invoices=5`，`ocrResultsLinkedFromInvoices=1`，`auditLogs=258`。
 - 结论：R5 仍未通过，下一步需重置或重新提供 `SMOKE001/SMOKE002` 密码后重跑；R6 仍不能开始。
 
+2026-05-10 R5 smoke 密码重置与自动化复查：
+
+- 执行合同：`issues/2026-05-10_17-10-42-r5-smoke-password-reset-and-live-smoke.csv`。
+- K1 只读确认：R4 已完成，R5 仍未完成；`SMOKE001/SMOKE002` 均 active；部署前备份 `hyb-oa-db-20260510_134340.dump` 与 `hyb-oa-storage-20260510_134341.tar.gz` 可追溯。
+- K2 已受控重置两个 smoke 账号密码和登录失败状态；新凭据仅写入仓库外 `~/.hyb-oa/live-smoke.env`，权限 `600`，未打印或提交密码。当前登录接口按邮箱/手机号查询，live smoke 登录标识使用 smoke 邮箱，员工编号仍为 `SMOKE001/SMOKE002`。
+- `node scripts/qa/check-live-smoke-env.mjs --strict`：通过，`liveSmokeReady=true`，`liveOcrReady=true`。
+- `LIVE_SMOKE_BASE_URL=https://oa.hyinda.com bash scripts/qa/run-live-smoke-readiness.sh`：通过；公网资源文案扫描 `scanned=54 focused=4 findings=0`；公网 live smoke `3 passed`；真实 OCR 样票不再 `SKIP`。
+- 真实 OCR 终态：样票识别出发票代码/号码、销售方、金额和日期；因历史样票重复，页面提示“已识别出相同发票，不能重复添加”，记录为可解释终态。
+- 证据目录：`artifacts/qa-flow/live-smoke-readiness-20260510-172421/`。
+- pending OCR 辅助扫描仍因缺 `DATABASE_URL` 记录 `SKIP`，不作为 R5 硬阻断。
+- K4 副作用只读审计：`authSessions=555 -> 572`，`auditLogs=258 -> 263`；`reimbursements=1`、`invoices=5`、`ocrResultsLinkedFromInvoices=1` 保持不变；未清理数据。
+- 结论：公网自动化和真实 OCR 已通过；企业微信真机人工验收尚未执行，所以主 R5 仍不能置为 `DONE/DONE/DONE`，R6 仍不能开始。
+
 判定：
 
 - `liveSmokeReady=false` 时只能记录公网账号条件缺失。