feat: strengthen risk controls and review workflows

docs/testing-progress.md

@@ -2460,3 +2460,32 @@ git diff --check
 - 独立 Linux 临时目录从锁文件执行两次全新 `npm ci --ignore-scripts` 成功：根项目 59 个包、API 726 个包；旧版 minimatch 三条真实依赖链花括号匹配和长度上限均通过。整改后根项目审计只剩同一条不适用 RSC 公告的 2 个依赖节点，API high 从 26 降为 0，仅剩 Prisma CLI→Valibot 的 3 个 moderate；该工具链不处理 API 请求且上游暂无修复版本，不降级 Prisma 7。
 - 功能门禁通过：报备 Excel 专项 1 suite / 7 tests，API 全量 26 suites / 325 tests，API TypeScript build，前端 TypeScript/Vite生产构建，Gateway `go test ./...`、`go vet ./...`，以及依赖安全门禁。标准部署脚本也会在干净安装后、Prisma migration 前强制执行该门禁，失败即停止发布。前端保留既有约 1.94 MB 单 chunk 提示；API 测试保留既有 Redis 容错告警和 `--forceExit` 异步句柄提示。
 - Windows 本地完整 `npm ci` 因另一进程占用两个原生 `.node` 文件而无法清理旧目录，未结束未知会话进程；随后非破坏性 `npm install` 修复本地依赖。锁文件可重建性以隔离 Linux 干净安装结果为准。提交、推送和预发布部署结果待发布后补记。
+
+## 2026-07-26 用户登录标识复用、组合查询与管理员提示（本地未提交、未部署）
+
+- 用户逻辑删除仍保留原记录、主键、角色关联及历史审计；用户名、邮箱和手机号改为仅对`deletedAt IS NULL`记录唯一。新增migration删除原全表唯一索引并创建三个PostgreSQL部分唯一索引，允许新用户以新主键复用已删除用户的登录标识，不继承旧账号身份或权限；登录和用户名查询显式排除已删除记录。
+- 运营端用户管理将用户姓名、登录账号、所属企业、用户角色和状态拆分；客户端拆分用户姓名、登录账号和状态。查询/重置调用真实用户列表API，后端按独立条件组合PostgreSQL查询，客户端条件由当前会话企业强制限域并固定企业管理员角色，不再下载全量用户后只在浏览器过滤。
+- 新增/编辑用户的校验和重复登录标识错误改在当前表单弹窗内显示。删除、禁用或降权最后一个管理员继续由后端实时计数拦截；运营端和客户端确认弹窗捕获HTTP错误、保持打开、显示可访问红色提示和“先创建或启用另一名管理员”建议，请求期间禁用按钮，不再产生未处理Promise。操作成功后才关闭弹窗，再按已应用筛选条件刷新列表；刷新失败不会误报为删除失败。
+- Prisma validate/generate通过；用户服务定向1 suite / 15 tests、API全量26 suites / 328 tests、API TypeScript build和前端TypeScript/Vite生产构建通过。全量测试只保留既有Redis不可用容错告警和`--forceExit`异步句柄提示，前端保留既有约1.94MB单chunk警告。
+- 本地静态预览访问运营端、客户端用户管理路由时均由真实认证守卫重定向至对应图形验证码登录页；页面标题、登录表单、无框架覆盖和控制台0条error/warn通过。没有绕过验证码，因此分离筛选和管理员拦截弹窗的登录后可见交互仍保留为人工登录复核项。
+- 本轮按用户要求保持未提交、未推送、未部署；未对预发布数据库执行migration或写入测试用户。`api/tsconfig.build.tsbuildinfo`、`outputs/`及未跟踪空文件`=`保持隔离，未纳入本次修改。
+
+## 2026-07-26 企业应用停用回执清算与下游断连（本地未提交、未部署）
+
+- 企业应用新增`disablingAt/autoDisableAt/disableReason`持久化字段和`disabling`状态；停用前统计等待供应商回执、等待推送、等待客户ACK、可重试失败、待推送上行和在线连接。
+- 无待清算数据直接停用；有数据时运营端弹窗可选择“等待回执后停用”或“强制停用并断开连接”。停用中状态支持悬停/聚焦查看原因和数量，并可点击启用恢复。
+- 停用中应用立即拒绝新Submit但允许回执清算连接；清算完成自动停用，进入停用中满72小时仍未完成时自动放弃剩余投递、标记`abandoned`并断开该账号全部下游CMPP连接。
+- Gateway新增按客户账号关闭全部下游会话的控制接口；历史pending回执读取移除企业/应用当前启用状态限制，修复企业删除后回执已生成但Gateway持续收到400的投递死锁。
+- 企业删除增加`active/disabling`应用拦截。应用停用后才到达的供应商回执继续更新真实短信终态，但下游投递直接留痕为`abandoned`且不再重试。
+- 已通过Prisma format/generate/validate、API定向3 suites / 155 tests、API全量26 suites / 333 tests、API TypeScript build、前端TypeScript及Vite生产构建、Gateway `go vet ./...`和`go test ./...`。API全量仅保留既有Redis不可用容错告警和`--forceExit`异步句柄提示；前端保留既有约1.94MB单chunk提示。
+- 应用内浏览器访问本地生产预览的企业应用管理路由，被真实认证守卫引导到运营登录页；页面标题和登录表单正常、无框架错误覆盖、控制台0条error/warn。当前没有已登录会话且存在图形验证码，未绕过认证，因此停用选择弹窗、停用中悬停详情和恢复启用的登录后视觉交互仍需持有有效会话后复核。
+- 本轮按要求不提交、不推送、不部署；工作区原有用户管理、依赖安全整改、构建产物及`outputs/`等其他会话修改保持原样。
+
+## 2026-07-26 风控规则与短信人工审核整改（发布前）
+
+- 风控规则收敛为单任务号码上限、可自定义非工作时间营销批量、10分钟客户端任务频控三项；新增全局/企业应用级规则页和真实后端编辑接口。应用级规则稳定覆盖全局，客户端频控直接统计同应用`sourceType=client`批次，排除CMPP、HTTP、通道测试和预检。
+- 删除企业应用`maxPhonesPerTask`字段和表单配置，不迁移测试应用旧值；重复号码、非法号码比例、黑名单比例和模板变量规则转`deleted`保留历史审计但不再生效。模板变量缺失/多传继续作为确定性提交拒绝。
+- 手机号码基础校验放宽为`^1\d{10}$`，不依赖号段更新。客户端/HTTP混合批次逐号码把非法号码、平台黑名单和企业应用黑名单记为`submit_failed/rejected`且金额0，合法号码照常冻结、入队；CMPP混合多目的提交对被拦截号码生成平台`REJECTD`失败回执，合法号码继续处理。
+- 短信审核页只返回待人工审核及人工处理记录，自动放行/拒绝不再混入；号码数量恢复设计基线的查看入口，真实接口仅返回手机号、归属地、运营商和短信状态并支持服务端搜索/分页。
+- 新待审核短信同步保存`reviewTaskId`，审核决定同时按短信直连和批次`riskTaskId`查找，修复审核任务已通过而短信仍`pending_review`。遵照要求不改写现存历史异常数据、不补发历史短信。
+- 发布前门禁阶段结果：Prisma format/generate/validate通过；风险审核+发送链定向2 suites / 108 tests通过，随后补充应用覆盖、号码分页与逐号码拦截用例；API全量26 suites / 338 tests、API TypeScript build、前端TypeScript/Vite生产构建、Gateway `go test ./...`/`go vet ./...`、依赖安全门禁通过。API保留既有Redis不可用容错告警与`--forceExit`提示，前端保留约1.95MB单chunk/584.70KB gzip提示。