feat: harden downstream requeue tasks

docs/testing-progress.md

@@ -3557,3 +3557,14 @@ git diff --check
 - 企业应用管理的状态、到达率、单价列宽均从130px缩至104px，字段和操作未隐藏。全局审计运营商数据展示后，监控、通道/通道组、应用路由、签名和报备、清退、短信审核、批次号码、发送记录及客户端发送详情统一复用`CarrierTag`；筛选选项、图表图例、导出和说明文字保留纯文本，三网通道展开为三个标签。
 - API全量37套/460项、充值和HTTP容量专项14/14、前后端TypeScript、Vite 8.1.5生产构建、Gateway全量测试与`go vet`、4份Gateway队列契约、企业应用R11、短信记录R11、企业签名R4结构契约和`git diff --check`均通过；Vite仅保留既有约2.07MiB单chunk提示。企业签名R4哈希只按本次经验证的运营商标签JSX同步更新，未放宽模块边界。浏览器连接本地页面时既有登录会话已失效，未输入账号密码或验证码，因此页面级视觉验收未完成。
 - 本轮与此前未提交的HTTP/Gateway容量修复一并进入待提交范围，未发送、补发或重投短信，未修改通道配置、余额、客户连接或生产数据；受保护缓存、`outputs/`和空文件`=`不删除、不提交、不归因。
+
+# 2026-08-13 下游投递后台重投任务安全整改与页面优化（本地未提交、未发布）
+
+- 已将`docs/downstream-requeue-task-design-20260812.md`确认的完整设计口径合并进平台需求和系统测试文档；独立设计稿继续作为审计输入保留，不以现有实现反向改写设计结论。
+- 预检严格使用企业、应用、类型、状态、北京时间日期和关键词筛选，不再把单一状态扩为全部状态；预检生成绑定操作人、筛选和`snapshotAt`的15分钟服务端签名凭证，创建接口不再接受前端重传的范围，仅按签名快照在真实PostgreSQL重新物化任务项。
+- 新增任务扫描数据库租约、`processing`两分钟认领租约恢复和每应用秒级原子限速窗口；多实例/重叠扫描不能突破每应用配置速率。客户无connected连接时进入`waiting_connection`，连接恢复后回队列；写出进入`waiting_ack`不清零，只有有效ACK清零，ACK超时/拒绝按应用累计并达到阈值后自动暂停和审计。
+- 新增完整任务项分页接口，支持状态、消息ID、错误和跳过原因查询；终止将尚未开始和等待连接项置为`unprocessed`，不撤回处理中或已写出项。任务列表增加状态筛选和分页，页面补齐企业—应用联动、中文状态、创建人、原因、进度及结果数；创建弹窗重做命中/可重投/跳过/应用信息层级和安全边界，详情可查询全部历史项而非最近50条。
+- 新增向前兼容migration`20260813150000_harden_downstream_requeue_tasks`，只增加任务应用级失败计数、扫描租约和速率窗口表，不删除或改写历史投递/ACK。已在明确指向`localhost:5432/cmpp_platform`的本地真实PostgreSQL应用，当前本地87条migration且schema up to date；未连接或修改预生产数据库。
+- 后台任务专项7/7通过，覆盖严格预检、签名凭证、服务端物化、完整分页、processing恢复、离线等待和ACK自动暂停；API全量37套/463项、Prisma format/validate、API及前端TypeScript正式构建、Vite 8.1.5生产构建（2541 modules）均通过，仅保留既有约2.08MB单chunk提示。新增任务明细分页使`SendChainService`稳定门面方法由104增至105，对应R10结构契约已按真实新增接口精确同步并通过；`git diff --check`通过。
+- 浏览器优先接管现有会话后确认本地真实API与PostgreSQL服务可访问，但现有浏览器没有已登录页面，访问下游投递页被正常引导到运营端登录；本轮未读取、猜测或重置凭据，也未绕过登录，因此创建弹窗、任务列表和详情的登录后视觉验收留待具备既有会话时补充。
+- 本轮没有创建真实重投任务、调用真实Gateway重投、发送短信、修改通道配置、余额或客户连接；不提交、不推送、不部署。既有`api/tsconfig.build.tsbuildinfo`、`tsconfig.tsbuildinfo`、`outputs/`和空文件`=`继续保护。