fix: validate signatures and restore report metrics

docs/testing-progress.md

@@ -2542,3 +2542,20 @@ git diff --check
 - 功能提交`e0f6eed0d40e21fb06166e28dd54fefa7d0f09b0`已推送并由精确Git快照发布；快照585个条目、1741824字节，本地与服务器SHA-256均为`99ed2d4b86f91b09a87baca027441aa63bec4b0ccefae3a04be5c63d80878e3f`。部署前数据库备份为`/opt/cmpp-deploy-backups/cmpp-20260726-223344.sql`，旧运行目录保留为`/opt/cmpp-platform.previous-20260726-223344`。
 - 标准部署脚本成功应用`20260726223000_prevent_duplicate_retry_side_effects`，预发布73条migration齐全；三个目标字段、唯一索引及补发自关联外键均已落库，`.deployed-commit=e0f6eed0d40e21fb06166e28dd54fefa7d0f09b0`。API、Gateway、Nginx、PostgreSQL、MinIO均active，Redis`PONG`；`12026/17890/8090/3000/6379/5432/9000`监听，内外健康页、运营端和客户端入口HTTP 200，公网CMPP 17890可连接，发布后API/Gateway无error级日志。
 - 四个启用通道均为`connected/currentConnections=1/desiredConnections=1`；Redis提交流消费者1、`pending=0`、`lag=0`。事故短信只读复核仍为4条提交尝试、12条供应商回执、3条下游投递和3条`refunded`账务流水，证明发布未删除、重写或自动冲正历史证据；本轮未发送任何真实测试短信。
+
+## 2026-07-27 HTTP环境前端随机ID兼容修复（发布前）
+
+- 预发布运营端删除签名在发起删除预检前调用`crypto.randomUUID()`；公网入口为裸HTTP IP，浏览器非安全上下文中该方法不可用，导致点击后抛出`TypeError`且后端未收到删除请求。
+- 新增统一随机ID工具：安全上下文优先使用原生`randomUUID()`，HTTP等环境回退到`crypto.getRandomValues()`生成符合版本位和变体位要求的UUID v4；极旧环境无Web Crypto时保留随机字节兼容兜底。
+- 删除签名/模板/通道、签名和模板审核通过、人工充值、报备批次生成统一改用兼容工具；企业应用密码随机生成也复用随机字节实现，避免同类问题从其他入口再次出现。
+- Node.js v24.14.0下前端TypeScript检查、Vite生产构建及`git diff --check`通过；无`randomUUID()`和无Web Crypto两种模拟环境均生成格式正确的UUID v4，`getRandomValues()`回退同时生成16位十六进制应用密码。构建仅保留既有约1.95MB单chunk提示。
+- 此修改已纳入用户授权的本轮统一提交、推送和预生产发布范围；工作区原有构建缓存、`outputs/`及空文件`=`继续作为非代码临时产物隔离。
+
+## 2026-07-27 签名不可见字符校验与通道报备真实统计（发布前）
+
+- 客户端与运营端签名新增/编辑统一禁止普通空格、Unicode空白、控制字符和默认不可见字符；非法键入或粘贴不覆盖已有受控输入，并即时显示错误。NestJS新增、编辑接口复用相同后端校验，防止绕过页面写入非法签名。
+- 通道报备详情恢复设计基线的“提交报备时间、报备成功时间、上次发送成功时间、今日发送”列；报备成功时间取真实通过记录，上次成功时间取当前通道与签名/引流范围内最近一条最终成功短信。
+- 今日发送统计由PostgreSQL真实提交记录、分片审计和供应商回执聚合，拆分成功、未知、回执失败和提交失败。提交拒绝/超时不混入已接受短信的回执失败率；签名任务汇总签名全部引流范围，具体引流任务严格隔离到自身。
+- Node.js v24.14.0定向验证通过：通道与短信配置2 suites / 103 tests；本机临时Redis就绪后API全量26 suites / 353 tests通过，测试结束即停止临时Redis。Prisma schema校验、API TypeScript build、前端TypeScript/Vite生产构建、Gateway Go全量测试/vet和依赖安全门禁通过；前端仅保留既有约1.96MB单chunk提示。
+- 预发布PostgreSQL按新口径只读执行聚合成功：当前报备任务范围覆盖512条通道提交尝试，其中北京时间今日324条、提交失败1条、最终成功169条，最近成功时间为`2026-07-27 11:18:39.04 UTC`；查询未写入或改写业务数据。提交、推送及预生产部署结果以本轮交付回执为准。
+- 用户明确授权将工作区所有有效代码一并发布；`api/tsconfig.build.tsbuildinfo`、`tsconfig.tsbuildinfo`、`outputs/`及空文件`=`属于既有构建/临时产物，不纳入源码提交。