feat: 按企业应用累计夜间短信并复用聚合审核

docs/phase-6-risk-review-plan.md

@@ -59,3 +59,13 @@ api/src/risk-review/
 3. 直接拒绝的任务必须向客户端返回可读原因。
 4. `npm run verify:phase6` 通过。
 
+## 2026-09-07 夜间累计发送量审核（替代营销单任务规则）
+
+- 用户授权实现、提交、推送并发布测试与预生产。复用短信审核页面及其内容聚合、号码明细、通过/驳回/批量审核；不改版审核页面。旧规则编码保留兼容历史命中记录，名称改为“夜间累计发送量审核”，不再判断category、内容或任务名称。
+- 所有企业应用默认开启，通用阈值5000，应用覆盖优先，停用覆盖回落通用。单位为每应用每夜业务短信数（一个业务消息×一个号码）；CMPP、公开HTTP、客户端共用计数。同号码不同业务消息分别累计，长短信分片、重试、补发和重复消费不重复计数。超过阈值的消息待人工审核；其他规则直接拒绝和未进入发送阶段的消息不消耗额度。
+- 夜间默认Asia/Shanghai 21:00至次日08:00，开始包含、结束不包含，跨午夜不清零。定时任务到期后执行。统一在发送Worker首次提交前拦截，覆盖CMPP批量快速入队和普通入口；HTTP/CMPP入口受理不等于已发送，异步消息状态为准。批量跨阈值按消息分流；失败/审核拒绝不归还夜间额度。
+- PostgreSQL新增NightSendingWindow与NightSendingReservation，应用锁、消息幂等记录、累计量、审核关联与pending_review状态同事务提交。Redis仅沿用队列，不保存唯一风控计数；数据库失败不得放行。新窗口首次使用从已有首次Submit记录补齐本夜历史数，避免夜间发布或规则启用时额度重置；发布仍核对历史基线和执行计划。
+- 审核按企业应用、相同原始内容及10秒窗口聚合（不混合不同内容），窗口关闭后沿用短信审核入口。计数维度不按内容拆分。已审核窗口不得再追加；审核批准仅释放该聚合任务绑定的消息，不豁免整晚；重复/相反审核须受控，续发失败可用同一决定重试。夜间结束仍不自动释放待审消息。
+- 阈值修改不清空计数，不自动释放待审消息；时间配置在当前夜间结束后生效，界面说明延迟生效。批量任务已有部分正常发送时，保留部分发送进度并标记存在待审核，不覆盖整批消息状态。审核与入队失败不得吞错，续发使用消息ID幂等队列任务。
+- 权限沿用管理员风控配置/短信审核入口；应用必须从真实消息与企业关联取得，不能信任客户端自报企业、时间或分类；应用覆盖必须验证对象存在。历史审核记录不重写、不自动重投。回退须先停发送Worker并保留新待审及计数事实，旧版本不能继续绕过新夜间门禁。
+- 验收覆盖阈值边界、多入口/多实例并发、跨午夜、应用隔离、幂等、重启、配置覆盖/变更、历史初始化、相同内容聚合、审核范围与并发、定时任务和数据库失败；使用隔离PostgreSQL/Redis证明持久化，不发送真实短信。前后端全量测试、类型/构建/质量门禁、两环境真实API与三尺寸页面验收分别留证。