feat: enforce signature-scoped drainage authorization before SMS submission

docs/testing-progress.md

@@ -4838,3 +4838,30 @@ git diff --check
 - 遗留边界：创建通道390宽原有布局拥挤，关闭按钮可见可用，未扩大为视觉改版；历史告警受Prometheus保留和采样限制，含等待触发周期，最后采样不等于恢复时刻。预生产历史ERR_CONNECTION_CLOSED根因和已有管理员会话锁定未在本轮解决，未尝试恢复管理员。未推送、未测试部署、未预生产部署，线上真实业务验收未执行。
 
 本地证据目录：C:/Users/hectorzhao/AppData/Local/Temp/cmpp-nine-fixes-20260909。自动日志api-full.log、frontend-final.log、build-last.log、api-build-final.log、lint-last.log、security.log等；浏览器成功记录browser-run7.log、browser-extra2.log、browser-retirement2.log、browser-counts2.log及各browser-*目录截图/结果，失败日志保留。敏感认证值不写入文档或Git。
+
+
+## 2026-09-10 引流拦截需求评估与方案
+
+仅文档授权；本地main为5bcdbb2a03637b1ab1aeda59a4e1db9cc9fc4243，实际ls-remote远端main为6d63eb5452ffc7c802960d044bf598cc8646564d，暂存区空，保护既有19个跟踪修改及全部未跟踪文件。核对检测器、两条原文最长匹配路径、报备路由、Prisma模型和平台失败回执后，新增[专项方案](drainage-send-gating-plan-20260910.md)，同步需求/风控索引/16项待执行用例。明确旧只识别规则被新需求替代的生效关系、多目标交集、号码清洗且原文不变、URL字面包含边界、审核和legacy任务兼容、拒绝回执/费用幂等、队列与撤销并发、数据迁移及阶段实施。
+
+证据仅当前源码/模型和真实Git远端读取；未启动服务、未连接业务数据库或远端API，未验证PostgreSQL/Redis/MinIO/Gateway当前状态，未执行业务测试、构建、浏览器或发送。文档完成不代表引流门禁已实现。业务边界待明确项列在方案第9节；本轮运行代码/配置/数据库无修改，未提交、未推送、未测试部署、未预生产部署。文档开工副本及保护核验记录位于%TEMP%/cmpp-drainage-design-20260910。
+
+用户随后明确URL规则：登记父域名授权自身及任意层级子域，路径/参数不限制，排除lisglo.cn.evil.com等伪包含。已将方案3.3改为URL解析后的hostname相等或点边界后缀匹配，同步需求和TC-DRAINAGE-GATE-05；仅历史带路径资料的迁移策略等仍待明确，域名边界已确定。
+
+文档核验完成：4份既有文档保持开工字节前缀不变，专项方案6个相对链接有效，16项验收用例均明确待执行；git diff --check通过，暂存区仍空。src无修改；api仅保留开工已有metrics两文件修改。本轮交付为新增1份方案与4份既有文档追加，无代码实现、业务测试或提交/发布。
+
+2026-09-10解释与补核：用户确认引流资料须平台审核通过，已写入方案及用例。将旧带路径资料/通道级报备术语改为业务示例和实施核查项。只读核对单条/批量路由失败、recordCmppFailureReceipt、queueFinalReceiptDeliveries及HTTP投递配置：CMPP路径生成REJECTD并按请求标记投递；非CMPP路由失败只刷新任务进度，未调用统一失败回执，列为后续闭环修复点。无代码修改或真实发送复现。
+
+2026-09-10用户最终确认：旧通道报备配置由用户调整，仅要求配置功能正常；非CMPP提交本来就不应推送回执，未来另提需求。已修正专项方案的现状评价、来源分支、实施范围和验收条件，同步需求与用例；撤销此前将非CMPP不推送判为缺口及纳入修复的判断。未修改代码/配置/数据，未迁移旧报备，未提交或部署。
+
+## 2026-09-10 引流发送资格实施与本地验收（13:20 CST）
+
+授权：修改、本地提交、测试环境部署；未授权推送、预生产部署、发送/补发/重投/重新入队短信或修改既有客户/通道/余额配置。实施见 drainage-send-gating-plan-20260910.md 第10节，用例 TC-DRAINAGE-GATE-01～16 分层记录。
+
+- Git：main 开工 HEAD 5bcdbb2a03637b1ab1aeda59a4e1db9cc9fc4243，实际远端 main 6d63eb5452ffc7c802960d044bf598cc8646564d。本轮保护42个已有具体文件；发布工具、metrics、AGENTS及治理草稿不提交。本轮变更前副本、日志及浏览器证据位于 %TEMP%/cmpp-drainage-implementation-20260910。
+- 实现：全目标规范化与同签名审核校验、通道交集、批量/普通路由、Gateway每分片最终复核、域名边界及伪URL排除、判定快照、CMPP拒绝回执耐久恢复、非CMPP不推送、多引流统计和短信详情。运行时仅新门禁产生拒绝，不处理旧批准或重发旧短信。治理清理未实施。
+- 新增 schema 迁移在独立真实 PostgreSQL 克隆库 cmpp_qa_drainage_1789017023546 应用成功；另一个早期迁移试验库保留，均未改本机业务原库。真实规则+资格HTTP接口验证NFKC号码/原文不变、两个目标通道交集、平台审核、报备撤销、写事务与复核并发锁、伪后缀/query/userInfo、转发请求拒绝、持久化决策及报备SQL；结果 real-gate2.log。仅构造隔离数据库夹具，无发送Worker、Gateway transport或提交outbox。
+- 自动检查：API全量67套723项通过；最终定向2套152项通过。前端27文件136项通过；TypeScript、API构建、前端production构建通过。Gateway全量Go测试及vet通过。lint（含类型/Stylelint/CSS治理15项）、format:check、security:verify、deploy:verify、bundle:verify通过。原有API metrics未提交测试包含在工作区总数中，精确提交的发布validate独立核验，不冒称所有测试文件均被提交。改动文件必要格式化和未使用导入清理用于满足当前门禁，未触及其他会话源码。
+- 浏览器：Browser插件不可用，使用既有Playwright/Edge，真实本地API+独立PostgreSQL库；Redis5仅隔离本机队列，登录使用测试Redis7的DB15独立随机前缀，经SSH转发，结束删除仅本轮认证键和临时QA用户。1600×1000、1366×768、390×844通过，拦截原因、显式关闭、刷新与跨路由正常，无pageerror。首轮在详情请求返回前断言历史占位，已修正测试等待，并为加载中新增明确提示；最终production构建再次验收通过。证据 browser-final.log 及该目录最新 browser-* 截图。
+- 环境：13:12重新核验测试SSH和health可达，线上版本仍809175b544f2526891ba6d2dece1a50eadaf57a0。期间两次SSH连接超时，Tailscale通过DERP后恢复；不记作认证失败或网络根因已永久解决。本次测试发布包同时包含此前九项运营修复提交与本功能；不推送远端。
+- 未执行：真实短信提交、供应商零Submit/长短信跨分片对账、客户回执ACK/离线送达、费用和部分已发记录对账、TPS/故障注入容量测试；没有专项发送授权，以上不以单元、夹具或浏览器代替。既有通道配置不修改，MinIO材料无变更。提交及标准发布阶段、磁盘/恢复资产与目标页面结果在后续记录补齐。