增加 PC 企业微信扫码登录（07-30-pc-wecom-qr-login）

deploy/trialrun/.env.example

@@ -74,6 +74,7 @@ OIDC_SCOPES=openid profile email
 # ===== 企业微信入口 / OAuth（可选） =====
 WECOM_ENABLED=false
 WECOM_ENTRY_ENABLED=false
+WECOM_PC_WEB_LOGIN_ENABLED=false
 WECOM_CORP_ID=
 WECOM_AGENT_ID=
 WECOM_AGENT_SECRET=

deploy/trialrun/checklist.md

@@ -179,7 +179,8 @@
 - [ ] 登录页已区分普通浏览器与企业微信 WebView 场景
 - [ ] 企业微信工作台入口 URL 已配置为 `https://oa.hyinda.com/api/auth/wecom/login?returnTo=%2Fmobile`
 - [ ] OAuth 回调地址已配置为 `https://oa.hyinda.com/api/auth/wecom/callback`
-- [ ] `deploy/trialrun/.env` 已补齐 `WECOM_ENABLED / WECOM_ENTRY_ENABLED / WECOM_OAUTH_ENABLED / WECOM_CORP_ID / WECOM_AGENT_ID / WECOM_AGENT_SECRET / WECOM_REDIRECT_URI / WECOM_ALLOWED_RETURN_HOSTS`
+- [ ] `deploy/trialrun/.env` 已补齐 `WECOM_ENABLED / WECOM_ENTRY_ENABLED / WECOM_OAUTH_ENABLED / WECOM_CORP_ID / WECOM_AGENT_ID / WECOM_AGENT_SECRET / WECOM_REDIRECT_URI / WECOM_ALLOWED_RETURN_HOSTS`；PC 托管扫码经企微后台核验后再单独设置 `WECOM_PC_WEB_LOGIN_ENABLED=true`
+- [ ] PC 托管扫码启用前，企微自建应用已开启“企业微信授权登录”，OA 域名已配置为 OAuth 可信域名或 Web 网页授权回调域名
 - [ ] 至少 1 个管理员已在 `个人设置` 成功完成企微绑定
 - [ ] 已验证：已绑定员工从企业微信工作台进入后可直接落到 `/mobile`
 - [ ] 已验证：未绑定员工会回退到登录页并看到明确绑定提示

deploy/trialrun/runbook.md

@@ -590,6 +590,7 @@ docker-compose -p "$COMPOSE_PROJECT_NAME" -f deploy/trialrun/docker-compose.yml
 2. 在 `deploy/trialrun/.env` 中补齐：
    - `WECOM_ENABLED=true`
    - `WECOM_ENTRY_ENABLED=true`
+   - `WECOM_PC_WEB_LOGIN_ENABLED=false`（默认关闭；确认企微授权登录和可信域名后再独立开启）
    - `WECOM_CORP_ID`
    - `WECOM_AGENT_ID`
    - `WECOM_AGENT_SECRET`
@@ -597,6 +598,7 @@ docker-compose -p "$COMPOSE_PROJECT_NAME" -f deploy/trialrun/docker-compose.yml
    - `WECOM_REDIRECT_URI=https://oa.example.com/api/auth/wecom/callback`
    - `WECOM_ALLOWED_RETURN_HOSTS=oa.example.com`
 3. 管理员先在个人设置页完成企微绑定，再拉试点用户验证免登。
+4. 如需普通 PC 浏览器扫码登录，先在企微自建应用开启“企业微信授权登录”并核对 OAuth 可信域名或 Web 网页授权回调域名，再将 `WECOM_PC_WEB_LOGIN_ENABLED=true`；回滚时只需恢复为 `false`，不影响工作台免登、密码和邮箱验证码登录。
 4. 企微消息只用于提醒与打开 OA，不新增第二套录入页面。
 
 ### C. 项目与合同最小导入