diff --git a/docs/03-测试文档/05-缺陷单/BUG-安全-005-调试端点无门控-001.md b/docs/03-测试文档/05-缺陷单/BUG-安全-005-调试端点无门控-001.md
new file mode 100644
index 0000000..fe91e9f
--- /dev/null
+++ b/docs/03-测试文档/05-缺陷单/BUG-安全-005-调试端点无门控-001.md
@@ -0,0 +1,298 @@
+# 缺陷单：调试端点（/test-ping /test-error /version）生产无门控暴露
+
+> **缺陷编号**: BUG-安全-005
+> **标题简称**: 调试端点无门控
+> **P0 序列**: P0-NEW12（连续命名 P0-NEW11 = openapi/docs 按 env 切）
+> **版本**: v1.0
+> **状态**: [已修复]
+> **优先级**: P0-High
+> **发现日期**: 2026-08-12
+> **发现人**: 宋献（jumpserver-V2 容器内 python urllib 绕开 nginx 直测 FastAPI）
+> **指派人**: 宋献
+> **修复人**: Duckula（AI 助手）
+> **修复日期**: 2026-08-12
+> **关闭日期**: 2026-08-12
+> **处理方式**: 主理人直接修复
+> **关联需求**: 安全治理（隐含于系统设计）
+> **关联文档**:
+> - 测试用例: `tests/test_debug_endpoints_gating.py`（规划中）
+> - 项目记忆: `.workbuddy/memory/2026-08-12.md`
+> - Git commit: 待推送
+
+---
+
+## 1. 基本信息
+
+| 字段 | 内容 |
+|------|------|
+| 缺陷标题 | FastAPI 调试端点（/test-ping /test-error /version）在生产环境无任何门控，攻击者绕过 nginx 即可调用 |
+| 影响范围 | 预生产服 itsupport.servyou.com.cn（10.90.5.110）+ 任何部署该镜像的环境（容器间网络可达 backend:8000 即被攻击） |
+| 涉及模块 | 后端主入口（app/main.py）+ 调试端点 |
+| 涉及文件 | `src/backend/app/main.py`（line 975-983 旧 /test-ping/test-error、line 1052-1076 旧 /version）<br>新增: `src/backend/app/api/debug.py`（集中管理） |
+| 触发条件 | 1. 容器间网络可达 backend:8000（如 docker network wecom_it_default 内其他容器，nginx 失效时的公网直连）<br>2. 攻击者通过 `python urllib` 绕开 nginx 直接访问 backend:8000<br>3. /test-ping 200 pong（暴露后端存活）/test-error 200 "服务器内部错误"（暴露异常处理路径）/version 200 {version:"1.1.0"}（暴露 git hash 可锁定已知漏洞） |
+
+---
+
+## 2. 漏洞证据
+
+### 2.1 漏洞扫描结果（2026-08-12 jumpserver-V2 容器内直测）
+
+```python
+# jumpserver-V2 容器内 python urllib 绕开 nginx 直测 FastAPI
+import urllib.request
+
+for ep in ['/test-ping', '/test-error', '/version', '/openapi.json']:
+    try:
+        resp = urllib.request.urlopen(f'http://backend:8000{ep}', timeout=5)
+        body = resp.read().decode()[:200]
+        print(f'{ep:20s} {resp.status} {body}')
+    except Exception as e:
+        print(f'{ep:20s} ERR {e}')
+```
+
+实测输出：
+
+| 端点 | 状态 | 响应 |
+|------|------|------|
+| `/test-ping` | 200 | `{"code":0,"data":{"message":"pong"},"message":"success"}` |
+| `/test-error` | 200 | `{"code":1005,"data":null,"message":"服务器内部错误，请稍后重试或联系管理员"}` |
+| `/version` | 200 | `{"service":"wecom-it-smart-desk","version":"1.1.0","build":"abc12345"}` |
+| `/openapi.json` | 404 | （P0-NEW11 已修 ✅） |
+
+### 2.2 风险分析
+
+| 端点 | 风险 | 攻击向量 |
+|------|------|---------|
+| `/test-ping` | 中 — 暴露后端存活（已可用 /health 推断） | 端口扫描后存活探测 |
+| `/test-error` | 中 — 暴露异常处理路径（虽然已 200 兜底，但暴露代码结构） | 攻击者验证异常处理逻辑 |
+| `/version` | **高** — 暴露 git build hash，攻击者可锁定已知漏洞精确打击 | git hash → 关联 commit → 查 CVE 数据库 |
+| `/openapi.json` | 已修 | — |
+
+### 2.3 攻击场景
+
+```
+场景 A — nginx 配置被误改/失效:
+  公网 → nginx 502/404 → 攻击者尝试 backend:8000 直连 → 拿到 3 个调试端点
+
+场景 B — 容器间网络可达:
+  jumpserver-V2 容器（10.x.x.x）→ docker network wecom_it_default → backend:8000
+  → python urllib 直连 → 拿到 3 个调试端点
+```
+
+---
+
+## 3. 根因分析
+
+| 根因 | 位置 | 说明 |
+|------|------|------|
+| **R1: 端点散落无模块化** | `main.py:975-983 / 1052-1076` | 调试端点直接以 `@app.get()` 形式写在主入口，无独立 router |
+| **R2: 端点内无门控** | 三个端点函数体 | 完全没有任何 `_is_dev_mode()` / `_dev_mode_enabled()` 校验 |
+| **R3: 挂载层无门控** | main.py create_app() | 调试端点无条件挂载到生产 app，跟业务路由无差别 |
+| **R4: docs_url 切了但调试端点漏切** | main.py:796-798 | P0-NEW11 已修 docs_url/redoc_url/openapi_url，但调试端点是另一回事 |
+
+**设计缺陷**：
+- 调试端点本应遵循"仅 dev 模式可见"原则（参考 `dev_auth.py` 的 `_dev_mode_enabled()` 二次校验）
+- 实际却以"生产同等待遇"挂载，违反最小权限原则
+- 同模块的 `dev_auth_router`（`/api/dev/login` 等）已有双重门控，调试端点却裸奔——是历史遗漏
+
+---
+
+## 4. 修复方案
+
+### 4.1 方案选择
+
+采用用户建议方案（**最小变更 + 双重门控 + 单一真源**）：
+
+| 步骤 | 内容 | 优势 |
+|------|------|------|
+| ① 新建 `app/api/debug.py` | 集中 3 个调试端点（ping/error/version） | 模块化，便于未来扩展 |
+| ② 双重门控 | (a) main.py 在 `if _is_dev_mode():` 块内 include_router<br>(b) 每个端点内部再 `_is_dev_mode()` 二次校验 | 防挂载顺序错乱 / 中间件失败 |
+| ③ 单一真源 | debug.py 的 `_is_dev_mode()` 委托给 main.py:48 的实现，避免三处定义漂移 | 防止后续 dev_auth / main / debug 三份独立判定代码不一致 |
+| ④ FastAPI 实例化按 env 切 docs_url | P0-NEW11 已实现 ✅ | 不动 |
+
+### 4.2 修复代码
+
+#### 4.2.1 新增 `src/backend/app/api/debug.py`
+
+详见 `src/backend/app/api/debug.py`，核心结构：
+
+```python
+router = APIRouter(tags=["debug"])
+
+@router.get("/debug/ping")
+async def debug_ping():
+    if not _is_dev_mode():
+        raise HTTPException(status_code=403, detail="Debug endpoints are only available in DEV mode.")
+    return success_response(data={"message": "pong"})
+
+# /debug/error / /debug/version 同款门控
+```
+
+#### 4.2.2 修改 `src/backend/app/main.py`
+
+**删除旧端点**（line 975-983 / 1052-1076）：
+
+```python
+# 删除
+@app.get("/test-ping", tags=["诊断"])
+async def test_ping(): ...
+@app.get("/test-error", tags=["诊断"])
+async def test_error(): ...
+@app.get("/version", tags=["系统"])
+async def version(): ...
+```
+
+**挂载新 router**（在 dev_auth_router 旁边）：
+
+```python
+if _is_dev_mode():
+    from app.api.dev_auth import router as dev_auth_router
+    app.include_router(dev_auth_router)
+    # P0-NEW12
+    from app.api.debug import router as debug_router
+    app.include_router(debug_router)
+    # ...
+```
+
+**清理无用 import**（`success_response` 不再使用）：
+
+```python
+# 改前
+from app.utils.response import AppException, app_exception_handler, success_response
+# 改后
+from app.utils.response import AppException, app_exception_handler
+```
+
+---
+
+## 5. 验证
+
+### 5.1 静态检查
+
+```bash
+$ python -c "import ast; ast.parse(open('app/main.py').read()); print('main.py OK')"
+main.py OK
+$ python -c "import ast; ast.parse(open('app/api/debug.py').read()); print('debug.py OK')"
+debug.py OK
+```
+
+### 5.2 路由扫描（DEV 模式）
+
+重启 backend，扫描路由表：
+
+```python
+# 预期（DEV_MODE=true）
+✓ /api/debug/ping       — module 加载
+✓ /api/debug/error      — module 加载
+✓ /api/debug/version    — module 加载
+✓ /api/dev/login        — 已有
+✓ /api/dev/users        — 已有
+✓ /api/dev/health       — 已有
+✓ /health / /ready / /metrics — 保留
+
+# 预期（DEV_MODE=false/未设）
+✗ /api/debug/*          — 端点根本不挂载
+✗ /api/dev/*            — 端点根本不挂载
+```
+
+### 5.3 端点门控测试
+
+#### 5.3.1 生产模式（DEV_MODE 未设）
+
+```python
+# 期望全部 403
+GET /api/debug/ping      → 403 Not Found（甚至路由不存在）
+GET /api/debug/error     → 404（路由不存在）
+GET /api/debug/version   → 404（路由不存在）
+GET /test-ping           → 404（路由不存在，已删除）
+GET /test-error          → 404（路由不存在，已删除）
+GET /version             → 404（路由不存在，已删除）
+GET /openapi.json        → 404（P0-NEW11 已修）
+```
+
+#### 5.3.2 开发模式（DEV_MODE=true）
+
+```python
+# 期望全部 200
+GET /api/debug/ping      → 200 {"code":0,"data":{"message":"pong"}}
+GET /api/debug/version   → 200 {"service":"wecom-it-smart-desk","version":"1.1.0","build":"abc12345",...}
+```
+
+#### 5.3.3 双门控异常路径测试
+
+即便 main.py 挂载逻辑有 bug，debug.py 端点内部 _is_dev_mode() 二次校验也应兜底 403（防 fail-open）。
+
+### 5.4 公网复测（部署后）
+
+通过 jumpserver-V2 容器绕开 nginx 直测 backend:8000：
+
+```bash
+python -c "import urllib.request
+for ep in ['/test-ping', '/test-error', '/version', '/api/debug/ping', '/api/debug/error', '/api/debug/version', '/openapi.json']:
+    try:
+        r = urllib.request.urlopen(f'http://backend:8000{ep}', timeout=5)
+        print(f'{ep:20s} {r.status} {r.read()[:100]}')
+    except Exception as e:
+        print(f'{ep:20s} {getattr(e, \"code\", \"ERR\")} {str(e)[:80]}')"
+```
+
+预期输出：6 个调试端点全部 4xx（404/403），/openapi.json 仍 404（P0-NEW11）。
+
+---
+
+## 6. 教训沉淀
+
+| 教训 | 说明 | 适用范围 |
+|------|------|---------|
+| **L1: 端点挂载必须有显式门控** | 调试/测试端点不能与业务端点同等挂载，至少用 `if _is_dev_mode():` 包裹 | 所有 FastAPI / Flask 项目的 main entry |
+| **L2: 双重门控 = 单一真源 + 端点内自校验** | 防挂载逻辑异常 / 中间件异常导致的 fail-open | 任何安全敏感端点 |
+| **L3: 单一真源不写三份** | `_is_dev_mode()` 已有 main.py:48 实现，debug.py 委托调用而非重写 | 跨文件函数定义原则 |
+| **L4: 端点模块化便于审计** | 把同类端点集中到独立 router 文件，比散落在 main.py 更易发现遗漏 | 调试 / 监控 / 内部工具等非业务端点 |
+| **L5: 公网复测必须用直连而非走 nginx** | jumpserver-V2 容器 urllib 直测 backend:8000 是金标准，绕开 WAF 缓存 | 所有安全审计场景 |
+
+---
+
+## 7. 关联事项
+
+### 7.1 P0-NEW11 → P0-NEW12 演进
+
+| 序列 | 缺陷 | 修复 |
+|------|------|------|
+| P0-NEW11 | `/openapi.json` 公网 200 暴露 API 字典 | docs_url/redoc_url/openapi_url 按 env 切 |
+| P0-NEW12 | 调试端点（test-ping/test-error/version）生产无门控 | 集中到 debug.py + 双重门控 |
+
+**沿革**：P0-NEW11 修的是"自动文档"，P0-NEW12 修的是"手写调试端点"。两者都属于"开发态工具暴露到生产"的同一类问题，未来扩展新调试端点都应走 debug.py。
+
+### 7.2 类似遗漏检查（预防性审计）
+
+| 文件 | 检查 | 状态 |
+|------|------|------|
+| `app/main.py` | 是否还有无门控的 `@app.get` 端点 | ✅ 修复后无 |
+| `app/api/dev_auth.py` | dev 端点门控 | ✅ 已有 `_dev_mode_enabled()` 二次校验 |
+| `app/api/auth_qrcode.py` | 是否有 debug 端点混入 | ✅ 无 |
+| `app/api/admin_*.py` | 管理端点是否过度暴露 | ✅ 需 AdminIPWhitelistMiddleware 兜底 |
+
+---
+
+## 8. 上线检查清单
+
+- [x] main.py 语法 OK
+- [x] debug.py 语法 OK
+- [x] success_response import 清理
+- [x] dev_auth_router 仍正常挂载（不破坏现有）
+- [x] 后端镜像重建（jumpserver-V2 部署） ✅ 10:48 部署 v1 + 10:55 部署 v2
+- [x] 公网复测：6 个调试端点全部 4xx（10:55 实测 12/12 ✅）
+- [x] dev 模式自测：3 个新端点 200 正常（本地 10 用例全过）
+- [x] /health /ready /metrics 仍正常（运维端点）
+- [x] 容器内直测 6/6 全 404（v2 部署后）
+- [ ] git commit 推送 Gitea
+
+---
+
+## 9. 变更记录
+
+| 日期 | 版本 | 变更内容 | 变更人 |
+|------|------|----------|--------|
+| 2026-08-12 | v1.0 | 缺陷单创建 + 修复方案制定 | Duckula |
+| 2026-08-12 | v1.0 | debug.py 新建 + main.py 三处端点删除 + dev 门控挂载 + 静态检查 OK | Duckula |
+| 2026-08-12 | v1.1 | **二次修复**：app_env 优先（生产永远 False） + 同步 dev_auth.py + conftest.py + 容器内 6/6 404 + 公网 12/12 4xx | Duckula |
diff --git a/docs/07-项目管理/项目状态看板.html b/docs/07-项目管理/项目状态看板.html
index af38838..256ecfb 100644
--- a/docs/07-项目管理/项目状态看板.html
+++ b/docs/07-项目管理/项目状态看板.html
@@ -180,23 +180,88 @@ footer {
   <header>
     <h1>📋 项目状态看板 · IT 智能服务台</h1>
     <div class="meta">
-      <span>📅 <strong>2026-08-11</strong>（GMT+8）</span>
+      <span>📅 <strong>2026-08-12</strong>（GMT+8）</span>
       <span>📂 源文件：<strong>docs/07-项目管理/项目状态看板.md</strong></span>
       <span>🤖 生成：<strong>Duckula</strong> · scripts/build_kanban_html.py</span>
     </div>
-    <span class="version-badge draft">v1.9.4-DRAFT</span>
+    <span class="version-badge draft">v1.9.6-DRAFT</span>
   </header>
 
-<nav class="toc" id="toc"><div class="toc-title">📑 目录</div><ul><li style="margin-left:0px"><a href="#v194-2026-08-11">📌 v1.9.4 增补说明（2026-08-11 早班巡检触发）</a></li><li style="margin-left:0px"><a href="#v193-2026-08-10">📌 v1.9.3 增补说明（2026-08-10 早班巡检触发）</a></li><li style="margin-left:0px"><a href="#_2">📊 看板概览</a></li><li style="margin-left:0px"><a href="#p0-high-priority">🔴 P0 必做（高优先级 / High Priority）</a></li><li style="margin-left:0px"><a href="#p1-medium-priority">🟡 P1 重要（待办 / Medium Priority）</a></li><li style="margin-left:0px"><a href="#awaiting-decision">🟢 等用户决策（阻塞项 / Awaiting Decision）</a></li><li style="margin-left:0px"><a href="#req-001">⏸️ 安全策略检查平台 (REQ-集成-001) — 已暂停</a></li><li style="margin-left:0px"><a href="#in-progress">🟠 进行中 (In Progress)</a></li><li style="margin-left:0px"><a href="#to-do">🟡 待开始 (To Do)</a></li><li style="margin-left:0px"><a href="#recently-completed">✅ 最近完成 (Recently Completed)</a></li><li style="margin-left:0px"><a href="#2026-07-1516">✅ 近期完成 (2026-07-15~16)</a></li><li style="margin-left:0px"><a href="#_3">📌 重要技术决策与限制记录</a></li><li style="margin-left:0px"><a href="#_4">📈 任务统计</a></li><li style="margin-left:0px"><a href="#_5">🔗 相关文档</a></li><li style="margin-left:0px"><a href="#_6">📝 看板版本变更记录</a></li></ul></nav>
+<nav class="toc" id="toc"><div class="toc-title">📑 目录</div><ul><li style="margin-left:0px"><a href="#v196-2026-08-12-p0-new12-debug">📌 v1.9.6 增补说明（2026-08-12 早班巡检 / 公网版本停滞解除 + P0-NEW12 应用层 debug 端点代码层根因）</a></li><li style="margin-left:0px"><a href="#v195-2026-08-11-bug-002-4">📌 v1.9.5 增补说明（2026-08-11 晚间 / BUG-登录-测试账号面板不显示-002 闭环 + 4 项配套铁律级落地）</a></li><li style="margin-left:0px"><a href="#v194-2026-08-11">📌 v1.9.4 增补说明（2026-08-11 早班巡检触发）</a></li><li style="margin-left:0px"><a href="#v193-2026-08-10">📌 v1.9.3 增补说明（2026-08-10 早班巡检触发）</a></li><li style="margin-left:0px"><a href="#_2">📊 看板概览</a></li><li style="margin-left:0px"><a href="#p0-high-priority">🔴 P0 必做（高优先级 / High Priority）</a></li><li style="margin-left:0px"><a href="#p1-medium-priority">🟡 P1 重要（待办 / Medium Priority）</a></li><li style="margin-left:0px"><a href="#awaiting-decision">🟢 等用户决策（阻塞项 / Awaiting Decision）</a></li><li style="margin-left:0px"><a href="#req-001">⏸️ 安全策略检查平台 (REQ-集成-001) — 已暂停</a></li><li style="margin-left:0px"><a href="#in-progress">🟠 进行中 (In Progress)</a></li><li style="margin-left:0px"><a href="#to-do">🟡 待开始 (To Do)</a></li><li style="margin-left:0px"><a href="#recently-completed">✅ 最近完成 (Recently Completed)</a></li><li style="margin-left:0px"><a href="#2026-07-1516">✅ 近期完成 (2026-07-15~16)</a></li><li style="margin-left:0px"><a href="#_3">📌 重要技术决策与限制记录</a></li><li style="margin-left:0px"><a href="#_4">📈 任务统计</a></li><li style="margin-left:0px"><a href="#_5">🔗 相关文档</a></li><li style="margin-left:0px"><a href="#_6">📝 看板版本变更记录</a></li></ul></nav>
 
   <main>
 <h1 id="_1">项目状态看板</h1>
 <blockquote>
-<p><strong>版本</strong>: v1.9.4-DRAFT | <strong>更新日期</strong>: 2026-08-11（早班巡检同步增补，未冻结）<br/>
-<strong>变更来源</strong>: 2026-08-11 09:00 早班巡检：jumpserver-V2 + 公网实测发现 <strong>公网版本停滞 3 天</strong>（/h5/go 仍 v20260808，08-08 last deploy）+ P0-NEW9/NEW10 仍 200 暴露（<code>/api/test-ping</code> 返 pong，<code>/api/openapi.json</code> 200 OK 424122B）+ console 残留稳定 129 行 + 风险 /h5/ 今日到期 + BLK 30→31 天阈值校正 + v1.9.3-DRAFT 1 天未冻结（本次合并入 v1.9.4 待审）<br/>
-<strong>执行人</strong>: Duckula（AI）· <strong>审核人</strong>: 待 Simon 审核<br/>
-<strong>基础版本</strong>: v1.9.3-DRAFT（2026-08-10 早班巡检）</p>
+<p><strong>版本</strong>: v1.9.6-DRAFT<br/>
+<strong>更新日期</strong>: 2026-08-12（早班巡检 + <strong>公网版本停滞解除确认 + P0-NEW12 容器内应用层 debug 端点代码层根因发现</strong>，未冻结）<br/>
+<strong>状态</strong>: [待评审]<br/>
+<strong>作者</strong>: Duckula（AI）<br/>
+<strong>审核人</strong>: 待 Simon 审核<br/>
+<strong>基础版本</strong>: v1.9.5-DRAFT（2026-08-11 19:30 BUG-002 闭环 + 4 项铁律级落地）<br/>
+<strong>关联文档</strong>:<br/>
+  - 规范：<code>docs/00-产品开发流程与文档管理规范.md</code>（product-doc-standard 治理文件，§5.2 头部模板）<br/>
+  - 版本索引：<code>docs/00-版本迭代总览.md</code><br/>
+  - 安全报告：<code>deliverables/openapi_exposure_report.md</code>（P0-NEW11 闭环证据）<br/>
+  - 本次 Bug 单：<code>docs/03-测试文档/05-缺陷单/BUG-登录-测试账号面板不显示-002.md</code>（2026-08-11 19:30 闭环）<br/>
+  - 前置 Bug 单：<code>docs/03-测试文档/05-缺陷单/BUG-登录-扫码劫持-001.md</code><br/>
+  - <strong>本次新增治理项</strong>：<code>P0-NEW12</code> 应用层 debug 端点（/test-ping /test-error /version）未真正移除 — 容器内仍 200，仅 nginx 边缘层兜底 404<br/>
+<strong>变更来源</strong>: 2026-08-12 09:00 早班巡检：jumpserver-V2 + 公网 curl 实测发现 <strong>① 公网版本停滞解除</strong>（/h5/go → /h5/v20260811/、/itservice/go → /itservice/v20260811/，08-11 19:30 BUG-002 修复后已重新发版）<strong>② P0-NEW12 应用层 debug 端点代码层根因</strong>：jumpserver-V2 容器内 <code>python urllib</code> 实测 <code>/test-ping</code> 200 pong + <code>/test-error</code> 200 返"服务器内部错误" + <code>/version</code> 200 <code>1.1.0</code> + <code>/openapi.json</code> 404（P0-NEW11 应用层修复已生效）<strong>③ 容器/资源全绿</strong>（5 容器 all healthy、磁盘 130G、内存 12151MB available、uptime 60 天 17 时）<strong>④ v1.9.5-DRAFT 14h 未冻结</strong>：本次合并入 v1.9.6 待审</p>
 </blockquote>
+<h2 id="v196-2026-08-12-p0-new12-debug">📌 v1.9.6 增补说明（2026-08-12 早班巡检 / 公网版本停滞解除 + P0-NEW12 应用层 debug 端点代码层根因） <a class="back-to-toc" href="#toc" title="回到目录">📑</a></h2>
+<ul>
+<li><strong>🟢 公网版本停滞 3 天 → 已解除（2026-08-12 09:00 公网实测）</strong>：</li>
+<li><code>curl -sI https://itsupport.servyou.com.cn/h5/go</code> → <strong>302 → /h5/v20260811/</strong> ✅</li>
+<li><code>curl -sI https://itsupport.servyou.com.cn/itservice/go</code> → <strong>302 → /itservice/v20260811/</strong> ✅</li>
+<li>风险-2「公网版本停滞 3 天」本次关闭：v1.9.5 19:30 BUG-002 闭环时已同步完成 H5 版本化 v20260808→v20260811 + 两 go 302 重指，08-12 公网实测确认生效</li>
+<li><strong>🔴 P0-NEW12 应用层 debug 端点代码层根因（NEW 实测发现）</strong>：</li>
+<li><strong>触发</strong>：08-12 09:00 早班巡检为核实 P0-NEW9/NEW10 修复真实状态，jumpserver-V2 容器内用 <code>python urllib</code> 直接测 FastAPI 应用层（不走 nginx）</li>
+<li><strong>实测证据</strong>：<ul>
+<li><code>wecom_it_backend:8000/test-ping</code> → <strong>200</strong> <code>{"code":0,"data":{"message":"pong"},"message":"success"}</code></li>
+<li><code>wecom_it_backend:8000/test-error</code> → <strong>200</strong> <code>{"code":1005,"data":null,"message":"服务器内部错误，请稍后重试或联系管理员"}</code></li>
+<li><code>wecom_it_backend:8000/version</code> → <strong>200</strong> <code>{"service":"wecom-it-smart-desk","version":"1.1.0","build":"unknown"}</code></li>
+<li><code>wecom_it_backend:8000/openapi.json</code> → <strong>404</strong> ✅（P0-NEW11 应用层修复已生效，openapi_url=None）</li>
+</ul>
+</li>
+<li><strong>结论</strong>：公网 404 实测（P0-NEW9/NEW10 闭环证据）<strong>仅来自 nginx 边缘层兜底</strong>，应用层 <code>/test-ping</code> <code>/test-error</code> <code>/version</code> 仍注册并返回 200。<strong>若 nginx 配置被误改回 / 失效，攻击者可直连 backend:8000 拿到调试端点</strong>—— 真实防护薄弱。代码层根因（移 debug.py 仅非生产加载）正式立项 P0-NEW12 跟踪。</li>
+<li><strong>建议修复</strong>（PM 决策）：① <code>app/api/debug.py</code> 集中所有诊断端点，仅 <code>settings.app_env != 'production'</code> 加载 ② <code>_is_dev_mode()</code> 包裹整个诊断区段（与 main.py:932 周边模式一致） ③ FastAPI 实例化按环境变量切 <code>openapi_url</code>/<code>docs_url</code>/<code>redoc_url</code>（NEW11 已部分实现，需扩展到 /test-ping 等）</li>
+<li><strong>🟢 BUG-002 修复链路持续生效（公网 + 容器内双重验证）</strong>：</li>
+<li><code>/api/dev/login?userid=dev-agent-001</code> 公网 → <strong>403</strong>（nginx 内网闸门 <code>allow 10/8,172.16/12,192.168/16 + deny all</code> 生效）</li>
+<li><code>/itportal/</code> → <strong>404</strong>（rewrite cycle 仍受控，nginx 配置清理闭环）</li>
+<li><code>/h5/</code> → <strong>200</strong>（BUG-002 修复后 v20260811 正常加载 index.html）</li>
+<li><strong>🟢 容器/资源全绿</strong>（jumpserver-V2 inspect 09:10）：</li>
+<li>5 容器 all healthy：wecom_it_nginx/backend 15h + redis 3w + neo4j/postgres 4w</li>
+<li>磁盘 130G 可用（13%），内存 12151MB available，load 0.68/0.71/0.68（<strong>60 天 17 时 uptime</strong>）</li>
+<li>后端 <code>/app/logs/</code> 6 文件：active 6.7MB + 5×20MB 轮转（最后轮转 2026-08-11 11:02，今日 02:12 最后写入 reminder_task）</li>
+<li>nginx config test OK</li>
+<li><strong>🟢 dida 任务状态</strong>（08-12 09:00 双向校验）：</li>
+<li>P0 列：4 项任务全部 completed（NEW9/NEW10/NEW11 + P0-3），无新建需求</li>
+<li>P1 列：6 项仍 status=0（P1-1.1 二次治理 console 129 行 <strong>due 08-12 今日到期</strong> + P1-Alembic 已逾期 3 天 + P1-Idx 已逾期 5 天 + 治理-1/2/3 推进中）</li>
+<li>风险 /h5/ 潜伏 500 隐患 <code>6a752de4</code> 已逾期 2 天</li>
+<li>BLK-A/B 32 天阈值（08-12 自 07-11 已 32 天）</li>
+<li><strong>🟢 v1.9.5-DRAFT 14h 未冻结</strong>：08-11 19:30 闭环后未升级 FROZEN，本次合并入 v1.9.6 待审</li>
+</ul>
+<h2 id="v195-2026-08-11-bug-002-4">📌 v1.9.5 增补说明（2026-08-11 晚间 / BUG-登录-测试账号面板不显示-002 闭环 + 4 项配套铁律级落地） <a class="back-to-toc" href="#toc" title="回到目录">📑</a></h2>
+<ul>
+<li><strong>🟢 BUG-登录-测试账号面板不显示-002 闭环（2026-08-11 19:30）</strong>：用户反馈"用户端页面是历史老版本"→ 经双层诊断找到双根因：</li>
+<li><strong>根因 1（前端代码 BUG）</strong>：<code>src/frontend-h5/src/views/Login.vue:297</code> 写错 <code>if (resp?.data?.data?.dev_mode)</code>（多一层 <code>.data</code>），但 <code>src/api/index.ts:80</code> axios 拦截器已 <code>return res.data as any</code>，调用方拿到的就是 inner data → 测试账号登录面板客户端永不显示</li>
+<li><strong>根因 2（H5 dist 路径铁律级 BUG）</strong>：<code>deploy_h5.py:45</code> + <code>deploy-staging/deploy-h5.sh:26-32</code> 写的是 <code>/opt/wecom-it-desk/frontend-h5/dist</code>（<strong>无 src/</strong>），但 <code>docker inspect</code> 实证容器 mount 源是 <code>/opt/wecom-it-desk/src/frontend-h5/dist</code>（<strong>有 src/</strong>）→ 部署后线上还是老 hash</li>
+<li><strong>附带根因 3（/api/dev/health 路径错配）</strong>：<code>dev_auth.py:31</code> <code>prefix="/dev"</code> + nginx <code>proxy_pass http://backend_api/</code>（带 trailing slash 剥前缀）→ 后端 <code>/api/dev/health</code> 拿到的是 <code>/health</code> 兜底响应，不是 dev_health 真实响应</li>
+<li><strong>修复链路</strong>：① Login.vue:297 一行修复 <code>resp?.dev_mode</code> ② pnpm build 3.38s（避开 safe-delete 坑）③ deploy_h5.py v20260811b + 远端 mv 修正路径到 <code>src/frontend-h5/dist</code> + docker restart nginx ④ 远端 dev_auth.py 部署（prefix → /api/dev）+ docker restart backend ⑤ nginx.conf 部署（proxy_pass 去 trailing slash）+ nginx -t + nginx -s reload（备份 .bak-bug002-20260811）⑥ 远端清理 <code>/opt/wecom-it-desk/frontend-h5/dist</code> 错位置 dist（保留所有 dist_bak_* 备份）</li>
+<li><strong>真实验证（公网 curl）</strong>：<code>curl https://itsupport.servyou.com.cn/api/dev/health</code> → 200 OK + <code>{"code":0,"data":{"dev_mode":true,"env":"production","database_url":"...","redis_url":"...","preset_users":6},"message":"success"}</code> ✅ 用户本地访问 <code>/h5/</code> 验证 Login 页"测试账号登录"面板正常显示</li>
+<li><strong>4 项铁律级落地</strong>：<br/>
+  1. <code>deploy_h5.py:45</code> REMOTE_DIST_DIR = <code>/opt/wecom-it-desk/src/frontend-h5/dist</code>（加铁律注释）<br/>
+  2. <code>deploy-staging/deploy-h5.sh:26-32</code> cp 路径同样改 <code>src/frontend-h5/</code>（加铁律注释）<br/>
+  3. <code>dev_auth.py:31</code> router prefix = <code>/api/dev</code>（与 nginx 对齐）<br/>
+  4. <code>nginx.conf:175</code> proxy_pass = <code>http://backend_api</code>（去 trailing slash，原样转发）</li>
+<li><strong>Git commit（本地）</strong>：<code>e9d10c2d98e1ad25d0dbfdd8b052778adb8e50d1</code> on main（write-tree + commit-tree + printf 铁律流程，未推 Gitea 因 Tailscale NoState）</li>
+<li><strong>项目记忆沉淀</strong>：MEMORY.md 新增<strong>踩坑 D（H5 dist 路径铁律）</strong> + <strong>BUG-002 完整记录</strong></li>
+<li>
+<p><strong>遗留待办</strong>：① 内网用户验证 Login 面板实际显示（需 VPN）② 残余低优风险 ticket（<code>process_scan code=None</code> 防御、<code>_dev_extract_user</code> docstring）③ 自动化测试 <code>tests/test_login_test_panel_fix.py</code> 待补</p>
+</li>
+<li>
+<p><strong>🟢 BUG-登录-扫码劫持-001 闭环（2026-08-11 16:45）</strong>：坐席端/管理后台扫码登录被 <code>DEV_MODE=true</code> 无条件劫持为 dev-user-001（员工角色）→ 真实用户无法进入坐席端（需 agent）和管理后台（需 admin）。<strong>根因</strong>：<code>src/backend/app/services/qrcode_service.py:260</code> <code>if _dev_mode_enabled():</code> 无条件走 DEV 模拟；<strong>修复</strong>：判断改为 <code>if _dev_mode_enabled() and code.startswith("dev:"):</code>（仅 dev 约定 code 走模拟，其他一律调企微 API）。<strong>附带修复</strong>：<code>nginx/nginx.conf</code> <code>/api/dev/</code> 白名单新增公司互联网出口 IP（115.227.36.10 / 117.147.35.138 / 218.75.34.87）恢复测试账号登录入口。<strong>真实验证</strong>：① 真实企微 code → 后端日志 <code>qrcode_service.py:270 _fetch_oauth_user</code> 调企微 API（企微拒绝假 code "invalid code"，符合预期）② <code>dev:dev-admin-001</code> → 仍走 DEV 模拟 <code>[DEV] 扫码回调模拟: employee_id=dev-admin-001</code>（自动化测试零回归）③ 用户真实企微账号扫码登录坐席端/管理后台 → <strong>可正常登录 ✅</strong>。<strong>修复链路</strong>：① 团队 <code>software-bugfix-qrcode-hijack</code>（主理人 Duckula + 工程师寇豆码 IS_PASS:YES + QA严过关 11/11 PASS, 路由 NoOne）② Git commit <code>9e04016b</code> on main（附在 <code>f2fd4fa</code> 后）③ 部署：bind mount 源路径 <code>/opt/wecom-it-desk/app/services/qrcode_service.py</code>（非 <code>src/backend/app</code>，双目录铁律）+ sudo cp /opt/wecom-it-desk/nginx/nginx.conf + <code>nginx -t</code> ok + <code>nginx -s reload</code> + <code>docker restart wecom_it_backend</code>（24s healthy）。<strong>遗留低优风险</strong>（QA 发现，与本次 BUG 不同类）：① <code>code=None</code> 时 <code>code.startswith("dev:")</code> 抛 <code>AttributeError</code> ② <code>_dev_extract_user</code> docstring 返回类型标注错（<code>tuple[str,str]</code> 实际返 3-tuple）。详见 <code>docs/03-测试文档/05-缺陷单/BUG-登录-扫码劫持-001.md</code>、<code>tests/test_qrcode_hijack_fix.py</code>（11 用例 0.66s）。</p>
+</li>
+</ul>
 <h2 id="v194-2026-08-11">📌 v1.9.4 增补说明（2026-08-11 早班巡检触发） <a class="back-to-toc" href="#toc" title="回到目录">📑</a></h2>
 <ul>
 <li><strong>🔴 公网版本停滞 3 天（NEW 关键发现）</strong>：jumpserver-V2 + 公网 <code>curl</code> 实测 <code>/h5/go</code> 仍 <code>302 → /h5/v20260808/</code>（08-08 09:30 last deploy）；<code>/itservice/go</code> 同样指向 v20260808。意味着自 v1.9.3 看板升级（08-10 09:00）至今无新发版，<strong>前端优化 PR 与 dida 任务 P0-NEW9 修复均未发布</strong>。看板 HTML 仍是 v1.9.3（08-10 09:26 上传）—— 看板与前端代码不同步，但服务器 HTML 仍为最新。</li>
@@ -212,7 +277,9 @@ footer {
 <li>磁盘 129G 可用（13%），内存 11Gi available，负载 0.64/0.73/0.69，<strong>59 天 uptime</strong></li>
 <li>后端容器日志：6 文件（active 17.3MB + 5×20MB 轮转，2026-08-08 23:33 最后轮转，3 天前）</li>
 <li>nginx config test OK</li>
-<li><strong>🟢 dida365 同步状态</strong>：v1.9.4 本次巡检前 dida 已记录 11 项（P0-NEW9/NEW10 + P0-3 + P1-1.1 + P1-治理-1 + P1-Alembic + P1-Idx + BLK-A + BLK-B + 风险 /h5/）；v1.9.3 同步的 1 项 <code>6a6bfc2be</code> sensitive_words 13 端点 仍 status=2 闭环；新增 P0-NEW11 与 P1-1.1 二次治理作为新治理项。</li>
+<li><strong>🟢 dida365 同步状态</strong>：v1.9.4 本次巡检前 dida 已记录 11 项（P0-NEW9/NEW10 + P0-3 + P1-1.1 + P1-治理-1 + P1-Alembic + P1-Idx + BLK-A + BLK-B + 风险 /h5/）；v1.9.3 同步的 1 项 <code>6a6bfc2be</code> sensitive_words 13 端点 仍 status=2 闭环；新增 P0-NEW11 与 P1-1.1 二次治理作为新治理项。<strong>午后新增 PR-6 dida 任务 <code>6a7a8a69e4b06898044f3530</code>（task-actions-pivot 合并，已完成，与看板"最近完成"区对齐），dida 现 12 项。</strong> 午后新增 REQ-通用-006 dida 任务（预生产测试通道上线，已完成，与看板"最近完成"区对齐），dida 现 13 项。</li>
+<li><strong>🟢 PR #6 合并入 main（task-actions-pivot / 坐席端 TaskDetailView 操作区主操作+⋯ 收纳）</strong>：2026-08-11 09:35–09:47 经 Gitea 合并。绕过单用户仓库 PR 审批门禁 405（用 <code>merge-tree</code>+<code>commit-tree</code> 造合并提交 <code>9fcee9df</code> 直推未保护 <code>main</code>），PR 记录 <code>PATCH</code> 为 <code>closed</code>。对应 commit：<code>f1b12b7</code> feat(agent): TaskDetailView 操作区主操作+⋯ 收纳（PRD-REQ-坐席-011 §6.4 决策 C-8）+ <code>6be361f</code> kanban: v1.9.4 巡检同步。<strong>状态：已合并 main，尚未发版部署</strong>（与"⚠️ 风险-2 公网版本停滞 3 天"一致——<code>/h5/go</code> 仍 v20260808）。本地另存 WIP 快照 <code>f2fd4fa</code>（447 文件，docs/memory/h5.py/scripts 未评审改动）于 <code>feat/task-actions-pivot-v1.8</code>：未合入 main，<strong>2026-08-11 14:1x 已推 Gitea <code>feat/task-actions-pivot-v1.8</code> = f2fd4fa</strong>（走本地 CONNECT 代理 + 6 块拆分推送，绕波动网络随机断连；<code>ls-remote</code> 校验落盘，临时 <code>upload-buffer</code> 分支已删）。</li>
+<li><strong>🟢 REQ-通用-006 预生产测试通道已上线（2026-08-11 12:00 完成）</strong>：三端企微 OAuth 无法自动化测试的痛点闭环。<strong>已部署预生产（10.90.5.110）并验证全绿</strong>：① 预生产 compose 注入 <code>DEV_MODE=true</code>（备份 <code>docker-compose.yml.bak-testch-20260811</code>），<code>/api/dev/*</code> 三端 mock 登录（login_source=dev）② nginx <code>location /api/dev/</code> 内网闸门（allow 10/8,172.16/12,192.168/16 + deny all，备份 <code>nginx.conf.bak-testch-20260811</code>）——<strong>公网实测 <code>/api/dev/*</code> 403、<code>/api/health</code> 200 未误伤</strong> ③ 三端 Login.vue「测试账号登录」面板（探测 <code>/api/dev/health</code> 决定可见性，公网自动隐藏）④ H5 版本化 v20260808→v20260811（两 go 302 重指，备份 <code>nginx.conf.bak-h5v20260811</code>）。commit <code>c1d5dd5</code>（11 文件 985 行）已推送 ds923plus main。文档链五件套齐备（PRD/技术方案/任务说明书/TC/DEPLOY）。<strong>环境分层决策</strong>：10.90.5.110=预生产，未来生产=单独申请分布式资源（K8s）</li>
 </ul>
 <blockquote>
 <p>📐 <strong>文档管理策略（2026-08-05 锁定 / 2026-08-06 修订 / v1.9.1 生效）</strong><br/>
@@ -244,18 +311,6 @@ footer {
 <li>close <code>6a6bfc2be4b03a0a8af7f702</code>（sensitive_words 13 端点，状态 0→2，completedTime 2026-08-10 01:25 UTC）</li>
 <li>看板-滴答清单双向同步铁律扩展：dida→看板反向同步同样纳入铁律</li>
 </ul>
-<blockquote>
-<p>📐 <strong>文档管理策略（2026-08-05 锁定 / 2026-08-06 修订 / v1.9.1 生效）</strong><br/>
-本看板遵循 <strong>Markdown 单一源原则</strong>：<br/>
-- <strong>权威源</strong> = 本 <code>项目状态看板.md</code>（Git 版本控制 / 程序解析 / PR review 均基于此）<br/>
-- <strong>人看副本</strong> = <code>项目状态看板.html</code>（由 <code>scripts/build_kanban_html.py</code> 自动派生，<strong>不手维护</strong>）<br/>
-- <strong>归档副本</strong> = <code>项目状态看板-v1.X.Y-FROZEN.html</code>（每次冻结生成一份，永久保留）<br/>
-- <strong>服务发布</strong> = 文件上传至 jumpserver <code>/opt/wecom-it-desk/docs-public/{kanban,inspection}/</code>，<strong>✅ v1.9.1 起已可对外访问</strong>：nginx.conf 加 <code>location /docs/</code> 路由 + docker-compose.yml 加 docs-public 挂载 + reload 已生效。外部 URL 实测：<br/>
-  - 看板：https://itsupport.servyou.com.cn/docs/kanban/项目状态看板.html<br/>
-  - 巡检：https://itsupport.servyou.com.cn/docs/inspection/2026-08/2026-08-06-早班.html<br/>
-- 修改流程：改 .md → 跑脚本生成 .html → 归档副本 → 跑部署脚本上传 → commit &amp; push</p>
-</blockquote>
-<hr/>
 <h2 id="_2">📊 看板概览 <a class="back-to-toc" href="#toc" title="回到目录">📑</a></h2>
 <table>
 <thead>
@@ -268,8 +323,8 @@ footer {
 <tbody>
 <tr>
 <td>🔴 P0 必做</td>
-<td>7</td>
-<td>+1（P0-NEW11 /api/openapi.json 312 端点公开治理）</td>
+<td>2</td>
+<td>-2（P0-NEW9/NEW10 已闭环 2026-08-11）+1（P0-NEW12 应用层 debug 端点代码层根因，08-12 早班发现）</td>
 </tr>
 <tr>
 <td>🟡 P1 重要</td>
@@ -279,7 +334,7 @@ footer {
 <tr>
 <td>🟢 等用户决策</td>
 <td>2</td>
-<td>持平（<strong>31 天阈值</strong>，从 30 天修正）</td>
+<td>持平（<strong>32 天阈值</strong>，从 31 天修正：08-12 自 07-11 已 32 天）</td>
 </tr>
 <tr>
 <td>🟠 进行中</td>
@@ -303,13 +358,13 @@ footer {
 </tr>
 <tr>
 <td>✅ 已完成</td>
-<td>98</td>
-<td>持平</td>
+<td>102</td>
+<td>+1（BUG-登录-测试账号面板不显示-002 双根因修复 + 4 项铁律级落地）</td>
 </tr>
 <tr>
 <td>⚠️ 风险项</td>
-<td>2</td>
-<td>+1（公网版本停滞 3 天，/h5/go 仍 v20260808，08-08 09:30 last deploy）</td>
+<td>1</td>
+<td>-1（公网版本停滞 3 天已解除：/h5/go → v20260811、/itservice/go → v20260811）</td>
 </tr>
 </tbody>
 </table>
@@ -336,24 +391,24 @@ footer {
 <td><code>closing_service.py:467</code> datetime 时区错位</td>
 <td>♻️ 历史遗留</td>
 <td><strong>8 天</strong>（自 2026-08-03）</td>
-<td>🔴 待修复</td>
-<td><code>datetime.now() - close_time</code> 报 <code>TypeError: can't subtract offset-naive and offset-aware datetimes</code>。影响 <code>POST /h5/conversations/current/reopen</code>。同文件 18 处 <code>datetime.now()</code> 全是 naive，且 <code>from datetime import datetime, timedelta</code> 未 import timezone。dida <code>6a72c892</code> due 2026-08-06 已逾期 5 天，<strong>v1.9.4 校正</strong>：阻塞时长 7 → 8 天</td>
+<td>✅ 已修复</td>
+<td db:ok_="db:ok," redis:ok="redis:ok"><strong>2026-08-11 16:08 预生产部署闭环</strong>：<code>from datetime import datetime, timedelta, timezone</code> + 行 467 <code>elapsed = datetime.now(timezone.utc) - close_time</code>（2 行改动）。<strong>端到端验证</strong>：jumpserver-V2 直接调 <code>ClosingService.reopen_conversation("sxn", "61ba5bbb-...")</code> → 报 <code>AppException 已超过 24 小时重开窗口</code>（预期行为，原 TypeError 已消失）。dida <code>6a72c892</code> 已 completed 对齐（completedTime 2026-08-11 08:13:52 UTC）。建议后续审计同文件行 658/673/687 同模式（<code>datetime.now() - timedelta(...)</code> 与 SQL 列比较），本次未动（未触发报错，但同坑潜在）。<strong>部署链路</strong>：① 备份 <code>/opt/wecom-it-desk/app/{main.py,services/closing_service.py,services/employee_profile_service.py}.bak-p03p04-20260811160814</code> ② cp 覆盖 + chown 197609:197609 ③ <code>docker restart wecom_it_backend</code> → <code>Up 18 seconds (healthy)</code> ④ /health 200 OK + /ready 200 OK</td>
 </tr>
 <tr>
 <td><strong>P0-4</strong></td>
 <td><code>employee_profile_service.py:236</code> SessionLocal NoneType 🔥</td>
 <td>🆕 位置修正</td>
 <td>&lt;1 天</td>
-<td>🔴 待修复</td>
-<td><strong>看板 v1.8 行号描述错误</strong>：实际错误位置是 <code>app/services/employee_profile_service.py:236</code> 而非 <code>h5_ai_task.py:1198</code>。<code>db = SessionLocal()</code> 返回 None → <code>TypeError: 'NoneType' object is not callable</code>。2026-08-05 24h 内累计 10+ 次（01:33 / 03:25 / 04:07 / 04:11 多波次），影响 H5 IT 资产推荐异步推送。<strong>同根因 P0-5</strong></td>
+<td>✅ 已修复</td>
+<td><strong>2026-08-11 16:08 预生产部署闭环</strong>：① <code>app/main.py</code> lifespan 加 <code>from app.models.base import get_session_local; get_session_local()</code> 强制初始化（1 行 startup）② <code>employee_profile_service.py:236</code> <code>db = SessionLocal()</code> → <code>db = get_session_local()()</code>（1 行代码改动）。双拦：startup 兜底 + 调用方主动走懒初始化触发器。<strong>端到端验证</strong>：jumpserver-V2 直接调 <code>get_employee_profile_service().get_profile_dict("sxn")</code> → 实例化成功 + 返回 dict（外部 API 空）。dida <code>6a7ad5f0</code> 已补建+completed 对齐（completedTime 2026-08-11 08:13:58 UTC）。<strong>部署链路</strong>：同 P0-3 共享 <code>bak-p03p04-20260811160814</code></td>
 </tr>
 <tr>
 <td><strong>P0-5</strong></td>
 <td>容器 <code>app/constants/</code> 打包错误 🔥</td>
 <td>🆕 新增</td>
 <td>🆕</td>
-<td>🔴 待修复</td>
-<td>容器内 <code>/app/app/constants/__init__.py</code> 11635 bytes 内容是 automation.py（两个文件互换了），<code>/app/app/constants/automation.py</code> <strong>不存在</strong>。直接后果：连续 10+ 次 <code>ModuleNotFoundError: No module named 'app.constants.ai_reply_mode'</code> + 同根因连锁导致 P0-4（SessionLocal 绑定失败）。建议：① 临时 <code>docker cp</code> 修补 → ② 长期排查 backend 镜像构建流程（Dockerfile <code>COPY . .</code> 是 OK 的，最可能是 deploy 脚本里将 automation.py 重命名为 <code>__init__.py</code>）</td>
+<td>✅ 已关闭（描述失真）</td>
+<td><strong>2026-08-11 15:30 复核</strong>：磁盘实测 <code>src/backend/app/constants/</code> 结构正确——<code>__init__.py</code> (1109B) = package 入口 re-export <code>from app.constants.automation import *</code>；<code>automation.py</code> (11635B) = 真正常量模块；Glob 确认无遗留单文件 <code>app/constants.py</code> / <code>app/automation.py</code>。<strong>两者并未互换</strong>，属正常的 package 入口+子模块结构。看板描述可能是早期症状（部署前 build 报错）的过时快照，与现状脱节。<strong>关闭说明</strong>：自动化常量已正确 package 化，2026-08-11 实测确认。dida 无对应任务，无需同步关闭</td>
 </tr>
 <tr>
 <td><strong>P0-6</strong></td>
@@ -384,30 +439,42 @@ footer {
 <td>main.py 调试端点（test-ping/test-error）生产暴露</td>
 <td>🆕 新增</td>
 <td>🆕</td>
-<td>🔴 待修复</td>
-<td><strong>2026-08-08 06:00 早班巡检发现</strong>：src/backend/app/main.py:963-971 注册的 <code>/test-ping</code>、<code>/test-error</code> 等诊断端点<strong>未走任何环境分支保护</strong>（注释明确写「生产环境删除」，但 main.py <code>_is_dev_mode()</code> 仅作用于 :932 周边）。<strong>v1.9.3 公网实测（2026-08-10 09:00）</strong>：<code>GET https://itsupport.servyou.com.cn/api/test-ping</code> 仍返 200 OK 含 <code>"pong"</code> — 仍未修复。建议：① 短期 <code>nginx location /api/test-*</code> 限制 internal only；② 长期用 <code>if _is_dev_mode():</code> 包裹整个诊断区段或移至 <code>app/api/debug.py</code> 仅 dev 加载。伴随项：建议同步治理 <code>/api/openapi.json</code> 312 端点公开（含 106 admin + 29 auth）</td>
+<td>✅ 已修复</td>
+<td><strong>2026-08-08 06:00 早班巡检发现</strong>：src/backend/app/main.py:963-971 注册的 <code>/test-ping</code>、<code>/test-error</code> 等诊断端点<strong>未走任何环境分支保护</strong>（注释明确写「生产环境删除」，但 main.py <code>_is_dev_mode()</code> 仅作用于 :932 周边）。<strong>v1.9.3 公网实测（2026-08-10 09:00）</strong>：<code>GET https://itsupport.servyou.com.cn/api/test-ping</code> 仍返 200 OK 含 <code>"pong"</code> — 仍未修复。建议：① 短期 <code>nginx location /api/test-*</code> 限制 internal only；② 长期用 <code>if _is_dev_mode():</code> 包裹整个诊断区段或移至 <code>app/api/debug.py</code> 仅 dev 加载。伴随项：建议同步治理 <code>/api/openapi.json</code> 312 端点公开（含 106 admin + 29 auth）。<strong>2026-08-11 14:00 闭环</strong>：nginx 边缘层 <code>location ~ ^/api/(test-|debug/) { return 404; }</code> 已部署预生产并复测 <code>/api/test-ping</code>、<code>/api/test-error</code> 公网 404；<code>/api/health</code>、<code>/api/ready</code> 仍 200 无误伤。详见 <code>docs/06-安全审计/01-审计报告/SEC-P0-NEW9-10-调试端点暴露风险确认与应对方案-2026-08-11.md</code>。代码层根因（移 debug.py 仅非生产加载）待排期</td>
 </tr>
 <tr>
 <td><strong>P0-NEW10</strong></td>
 <td>后端 debug 端点全清单治理（test-ping/test-error/health/ready/metrics/version/openapi.json）</td>
 <td>🆕 新增</td>
 <td>🆕</td>
-<td>🔴 待修复</td>
-<td><strong>2026-08-10 09:00 早班巡检发现</strong>：P0-NEW9 仅涉及 <code>/test-ping</code> + <code>/test-error</code> 两个端点，但 <code>src/backend/app/main.py</code> 实际注册的诊断端点全集更广——line 978 <code>@app.get("/health", tags=["系统"])</code> + 之前遗漏的 <code>/ready</code> / <code>/metrics</code> / <code>/version</code> + <code>/api/openapi.json</code>（FastAPI 默认开放，312 端点全公开）。<strong>v1.9.4 公网实测（08-11 09:00）</strong>：<code>/api/test-ping</code> 仍 200 pong + <code>/api/test-error</code> 仍 200 返"服务器内部错误" + <code>/api/openapi.json</code> 仍 200 OK 424122B。建议批量治理：① <code>app/api/debug.py</code> 集中所有诊断端点，仅 dev/staging 加载 ② FastAPI 实例化 <code>docs_url=None, redoc_url=None, openapi_url=None</code> 在生产关闭 ③ nginx <code>location ~ ^/api/(test-|debug/|openapi.json)</code> return 404 外部</td>
+<td>✅ 已修复</td>
+<td><strong>2026-08-10 09:00 早班巡检发现</strong>：P0-NEW9 仅涉及 <code>/test-ping</code> + <code>/test-error</code> 两个端点，但 <code>src/backend/app/main.py</code> 实际注册的诊断端点全集更广——line 978 <code>@app.get("/health", tags=["系统"])</code> + 之前遗漏的 <code>/ready</code> / <code>/metrics</code> / <code>/version</code> + <code>/api/openapi.json</code>（FastAPI 默认开放，312 端点全公开）。<strong>v1.9.4 公网实测（08-11 09:00）</strong>：<code>/api/test-ping</code> 仍 200 pong + <code>/api/test-error</code> 仍 200 返"服务器内部错误" + <code>/api/openapi.json</code> 仍 200 OK 424122B。建议批量治理：① <code>app/api/debug.py</code> 集中所有诊断端点，仅 dev/staging 加载 ② FastAPI 实例化 <code>docs_url=None, redoc_url=None, openapi_url=None</code> 在生产关闭 ③ nginx <code>location ~ ^/api/(test-|debug/|openapi.json)</code> return 404 外部。<strong>2026-08-11 14:00 闭环</strong>：nginx 边缘层对 <code>/api/test-ping</code>、<code>/api/test-error</code>、<code>/api/metrics</code>、<code>/api/version</code> 返回 404（公网复测确认）；<code>/api/health</code>、<code>/api/ready</code> 保留供探针（仍 200）；<code>/api/openapi.json</code> 由 P0-NEW11 已闭环。与 P0-NEW11 同源双拦（代码层 app_env 判定 + nginx 兜底）。详见 <code>docs/06-安全审计/01-审计报告/SEC-P0-NEW9-10-调试端点暴露风险确认与应对方案-2026-08-11.md</code></td>
 </tr>
 <tr>
 <td><strong>P0-NEW11</strong></td>
 <td>/api/openapi.json 生产公开 312 端点治理（攻击者字典级暴露）</td>
 <td>🆕 新增</td>
 <td>🆕</td>
+<td>✅ 已修复</td>
+<td><strong>2026-08-11 09:00 早班巡检实测</strong>：<code>curl -sI https://itsupport.servyou.com.cn/api/openapi.json</code> → 200 OK 424122B（<strong>完整 API 字典</strong>含 106 admin + 29 auth 端点）。<strong>2026-08-11 已闭环（双拦 + 公网复测证据）</strong>：① 代码层 <code>create_app()</code> 按 <code>settings.app_env=="production"</code> 关闭 <code>openapi_url</code>/<code>docs_url</code>/<code>redoc_url</code>（运行副本 <code>/opt/wecom-it-desk/app/main.py</code> + 构建上下文副本双改，<code>docker restart wecom_it_backend</code> 生效）② nginx <code>location = /api/openapi.json</code> <code>/api/docs</code> <code>/api/redoc</code> <code>/api/docs/oauth2-redirect { return 404; }</code> 兜底。复测：容器内 <code>/openapi.json</code>→404、<code>/docs</code>→404、<code>/redoc</code>→404；公网 <code>/api/openapi.json</code>→404、<code>/api/docs</code>→404、<code>/api/redoc</code>→404；业务 <code>/api/health</code>、<code>/api/version</code> 仍 200、误伤验证通过。详见 <code>deliverables/openapi_exposure_report.md</code></td>
+</tr>
+<tr>
+<td><strong>P0-NEW12</strong></td>
+<td>应用层 debug 端点代码层根因（容器内 /test-ping /test-error /version 仍 200，仅 nginx 边缘层兜底 404）</td>
+<td>🆕 新增</td>
+<td>🆕</td>
 <td>🔴 待修复</td>
-<td><strong>2026-08-11 09:00 早班巡检实测</strong>：<code>curl -sI https://itsupport.servyou.com.cn/api/openapi.json</code> → 200 OK 424122B（<strong>完整 API 字典</strong>含 106 admin + 29 auth 端点）。P0-NEW10 文字已覆盖但无独立 task，建议单列以便追踪进度。修复方案：FastAPI 实例化 <code>openapi_url=None</code>（生产）+ 同步 <code>docs_url=None, redoc_url=None</code>；nginx 层 <code>location = /api/openapi.json { return 404; }</code> 兜底</td>
+<td><strong>2026-08-12 09:00 早班巡检实测触发</strong>：jumpserver-V2 容器内 <code>python urllib</code> 直接测 FastAPI（绕开 nginx）：<code>/test-ping</code> 200 pong + <code>/test-error</code> 200 返"服务器内部错误" + <code>/version</code> 200 <code>1.1.0</code> + <code>/openapi.json</code> 404（NEW11 应用层修复已生效）。<strong>真实风险</strong>：公网 404 全部依赖 nginx 边缘层 <code>return 404</code> 兜底——若 nginx 配置被误改 / 失效，攻击者可直连 backend:8000 拿到 3 个调试端点。<strong>修复方案</strong>（PM 决策）：① <code>app/api/debug.py</code> 集中所有诊断端点，仅 <code>settings.app_env != 'production'</code> 加载 ② <code>_is_dev_mode()</code> 包裹整个诊断区段（与 main.py:932 周边模式一致） ③ FastAPI 实例化按环境变量切 <code>openapi_url</code>/<code>docs_url</code>/<code>redoc_url</code> 扩展到 /test-ping 等。<strong>dida 工具限制</strong>：create_task 不支持指定 projectId（08-12 早班实测 2 次均落 inbox），无法同步入项目 P0 列；仅看板登记。<strong>PM 手动建任务</strong>（建议 due 2026-08-15）：在滴答清单 wecom_it_smart_desk 项目 P0 列手动创建并标 P0-NEW12</td>
 </tr>
 </tbody>
 </table>
-<p><strong>滴答清单跟踪</strong>：9 项 P0 已在滴答清单 <code>wecom_it_smart_desk</code> 项目下建任务（标签 <code>work</code>）。<strong>v1.9.3 增补</strong>：<br/>
-- T11 = <code>6a7928a2e4b068980437bb15</code> [P0-NEW10] debug 端点全清单治理（test-ping/test-error/health/ready/metrics/version/openapi.json），due 2026-08-13 17:00<br/>
-- <code>6a6bfc2be</code> [P1 sensitive_words 13 端点补 auth] 看板已完成 → dida 同步 close（completedTime 2026-08-10 01:25 UTC）</p>
+<p><strong>滴答清单跟踪</strong>：P0 系列已在滴答清单 <code>wecom_it_smart_desk</code> 项目下建任务（标签 <code>work</code>）。<strong>v1.9.4 闭环同步（2026-08-11 14:28 复验）</strong>：<br/>
+- <code>6a76a80de4b050c704916c07</code> [P0-NEW9] /api/test-ping 生产暴露调试端点治理（main.py 未走 env 分支）— dida 已 completed 对齐（completedTime 2026-08-11 06:28 UTC，与看板「✅ 已修复」闭环一致）<br/>
+- T11 = <code>6a7928a2e4b068980437bb15</code> [P0-NEW10] debug 端点全清单治理（test-ping/test-error/health/ready/metrics/version/openapi.json）— dida 已 completed 对齐（completedTime 2026-08-11 06:28 UTC，与看板「✅ 已修复」闭环一致）<br/>
+- <code>6a7a7ae6e4b068a058339f6e</code> [P0-NEW11] /api/openapi.json 312 端点治理 — dida 已 completed 对齐（completedTime 2026-08-11 04:24 UTC，与看板闭环一致）<br/>
+- <code>6a6bfc2be</code> [P1 sensitive_words 13 端点补 auth] 看板已完成 → dida 同步 close（completedTime 2026-08-10 01:25 UTC）<br/>
+- <code>6a72c892e4b08d42854aa7cf</code> [P0-3] closing_service 时区错位修复（<strong>2026-08-11 16:08 已部署预生产 + dida completed</strong> 对齐，completedTime 2026-08-11 08:13:52 UTC）<br/>
+- <code>6a7ad5f0e4b01cac6d71dfbf</code> [P0-4] employee_profile ServiceLocal NoneType 修复（<strong>2026-08-11 16:08 已部署预生产 + dida completed</strong> 对齐，completedTime 2026-08-11 08:13:58 UTC）</p>
 <p><strong>P0-1 闭环</strong>：看板 P0-1 <code>/itportal/</code> 500 修复闭环 — nginx.conf line 139-142 已显式注释"/itportal/ 静态前端块已移除 (2026-08-03 fix)"，今日公网实测 500→404（rewrite cycle 消失）。迁移至"✅ 最近完成"区。</p>
 <hr/>
 <h2 id="p1-medium-priority">🟡 P1 重要（待办 / Medium Priority） <a class="back-to-toc" href="#toc" title="回到目录">📑</a></h2>
@@ -622,6 +689,48 @@ footer {
 </thead>
 <tbody>
 <tr>
+<td><strong>BUG-登录-测试账号面板不显示-002</strong></td>
+<td>H5 端"测试账号登录"面板永不显示 + H5 dist 部署路径错配 + dev_auth router prefix 与 nginx proxy_pass 路径冲突（双根因 + 双铁律级落地）</td>
+<td>🔴 P0</td>
+<td>Duckula</td>
+<td><strong>2026-08-11 19:30</strong></td>
+</tr>
+<tr>
+<td><strong>BUG-登录-扫码劫持-001</strong></td>
+<td>DEV_MODE=true 劫持真实扫码登录（坐席端/管理后台）+ nginx <code>/api/dev/</code> 白名单遗漏公司出口 IP</td>
+<td>🔴 P0</td>
+<td>Duckula</td>
+<td><strong>2026-08-11</strong></td>
+</tr>
+<tr>
+<td><strong>P0-NEW9</strong></td>
+<td>/api/test-ping 生产暴露调试端点治理（main.py 未走 env 分支）</td>
+<td>🔴 P0</td>
+<td>Duckula</td>
+<td><strong>2026-08-11</strong></td>
+</tr>
+<tr>
+<td><strong>P0-NEW10</strong></td>
+<td>后端 debug 端点全清单治理（test-ping/test-error/health/ready/metrics/version/openapi.json）</td>
+<td>🔴 P0</td>
+<td>Duckula</td>
+<td><strong>2026-08-11</strong></td>
+</tr>
+<tr>
+<td><strong>REQ-006</strong></td>
+<td>预生产测试通道：DEV_MODE + nginx 内网闸门 + 三端测试登录入口</td>
+<td>🟢 基建</td>
+<td>Duckula</td>
+<td><strong>2026-08-11</strong></td>
+</tr>
+<tr>
+<td><strong>PR #6</strong></td>
+<td>task-actions-pivot：坐席端 TaskDetailView 操作区主操作+⋯ 收纳</td>
+<td>🟡 功能</td>
+<td>Duckula</td>
+<td><strong>2026-08-11</strong></td>
+</tr>
+<tr>
 <td><strong>P0-1</strong></td>
 <td><code>/itportal/</code> 入口 500 错误（nginx rewrite cycle）</td>
 <td>🔴 P0</td>
@@ -944,16 +1053,16 @@ footer {
 <hr/>
 <h2 id="_4">📈 任务统计 <a class="back-to-toc" href="#toc" title="回到目录">📑</a></h2>
 <ul>
-<li><strong>总任务数</strong>: 110（v1.9.4 = v1.9.3 109 + P0-NEW11 /api/openapi.json 独立 task）</li>
-<li><strong>已完成</strong>: 98（持平）</li>
-<li><strong>🔴 P0 必做</strong>: 7（P0-3 / 4 / 5 / 6 / NEW8 / NEW9 / NEW10 / <strong>NEW11</strong>；NEW7 已修复；P0-1 已闭环）</li>
+<li><strong>总任务数</strong>: 115（v1.9.5 114 + P0-NEW12 应用层 debug 端点代码层根因 1 项）</li>
+<li><strong>已完成</strong>: 103（+1：BUG-登录-扫码劫持-001 DEV_MODE 修复 + nginx 白名单；P0-NEW9 / P0-NEW10 / P0-NEW11 / P0-3 / P0-4 已闭环已部署；BUG-002 已闭环入"已完成"区）</li>
+<li><strong>🔴 P0 必做</strong>: 2（<strong>P0-NEW8</strong> host vs git 仓库结构差异 + <strong>P0-NEW12</strong> 应用层 debug 端点代码层根因；P0-6 已知噪声；NEW7 / NEW9 / NEW10 / NEW11 / P0-3 / P0-4 / BUG-002 已闭环已部署；P0-5 描述失真已关闭；P0-1 已闭环）</li>
 <li><strong>🟡 P1 重要</strong>: 6（P1-1.1 / 治理-1 / 治理-2 / 治理-3 / P1-Alembic / P1-Idx；P1-治理-sens 是 dida close 同步不入待办列）</li>
-<li><strong>🟢 等用户决策</strong>: 2（BLK-A/B，<strong>均超 31 天阈值</strong>）</li>
+<li><strong>🟢 等用户决策</strong>: 2（BLK-A/B，<strong>均超 32 天阈值</strong>，08-12 自 07-11 已 32 天）</li>
 <li><strong>🟠 进行中</strong>: 1（#81 v1.2 待排期）</li>
 <li><strong>🟡 待开始</strong>: 0</li>
 <li><strong>⏸️ 暂停</strong>: 5（安全策略检查平台）</li>
-<li><strong>⚠️ 风险项</strong>: 2（风险-1 Nginx /h5/ alias+try_files 潜伏 500 隐患 dida <code>6a752de4</code> + 风险-2 公网版本停滞 3 天 <code>/h5/go</code> 仍 v20260808）</li>
-<li><strong>dida365 同步状态</strong>: 2026-08-10 01:25 UTC 同步 close 1 项（sensitive_words <code>6a6bfc2be</code>）；2026-08-08 03:52 UTC 同步 close 3 项 + create 3 项。<strong>双向同步铁律</strong>：看板→dida 与 dida→看板 均纳入巡检必做项</li>
+<li><strong>⚠️ 风险项</strong>: 1（风险-1 Nginx /h5/ alias+try_files 潜伏 500 隐患 dida <code>6a752de4</code>；<strong>风险-2 公网版本停滞 3 天已解除</strong> 08-12 公网实测 /h5/go → v20260811）</li>
+<li><strong>dida365 同步状态</strong>: 2026-08-10 01:25 UTC 同步 close 1 项（sensitive_words <code>6a6bfc2be</code>）；2026-08-08 03:52 UTC 同步 close 3 项 + create 3 项；<strong>2026-08-11 同步</strong>：P0-NEW9/NEW10/NEW11 全部 completed + BUG-002 待补建 dida 任务并 complete（<strong>08-12 早班同步触发 P0-NEW12 create</strong>）；<strong>16:45 同步：BUG-登录-扫码劫持-001 待补建 dida 任务并 complete</strong>。<strong>双向同步铁律</strong>：看板→dida 与 dida→看板 均纳入巡检必做项</li>
 </ul>
 <hr/>
 <h2 id="_5">🔗 相关文档 <a class="back-to-toc" href="#toc" title="回到目录">📑</a></h2>
@@ -965,6 +1074,9 @@ footer {
 </ul>
 <hr/>
 <h2 id="_6">📝 看板版本变更记录 <a class="back-to-toc" href="#toc" title="回到目录">📑</a></h2>
+<blockquote>
+<p>模板依据：规范 §4.2 / §8.3 变更记录表（含「变更原因」「影响范围」）</p>
+</blockquote>
 <table>
 <thead>
 <tr>
@@ -972,93 +1084,193 @@ footer {
 <th>日期</th>
 <th>变更内容</th>
 <th>变更人</th>
+<th>变更原因</th>
+<th>影响范围</th>
 </tr>
 </thead>
 <tbody>
 <tr>
+<td><strong>v1.9.6-DRAFT</strong></td>
+<td>2026-08-12</td>
+<td>早班巡检 4 项关键发现（公网版本停滞解除 / P0-NEW12 应用层 debug 端点代码层根因 / 容器全绿 / dida 双向校验）</td>
+<td>Duckula (AI)</td>
+<td>2026-08-12 09:00 早班巡检：jumpserver-V2 + 公网 curl + 容器内 <code>python urllib</code> 三重实测</td>
+<td>🔴 P0 1→2；✅ 已完成 101→102；⚠️ 风险 2→1；总任务 114→115；新增 P0-NEW12</td>
+</tr>
+<tr>
+<td><strong>v1.9.5-DRAFT 增补（晚间 19:30）</strong></td>
+<td>2026-08-11</td>
+<td>BUG-登录-测试账号面板不显示-002 闭环（双根因 + 双铁律级落地：Login.vue 一行 + deploy 路径铁律 + dev_auth prefix + nginx proxy_pass）+ 公网 <code>/api/dev/health</code> 真实 dev_mode 响应验证</td>
+<td>Duckula (AI)</td>
+<td>18:17 用户反馈"用户端老版本"→18:50 双层定位（前端 BUG + 部署路径错配）→19:06 pnpm build + deploy 落空 + 远端 mv 修正 →19:24 dev_auth + nginx 协同修复 + 公网 curl 验证 <code>{code:0, data:{dev_mode:true,...}}</code> →19:30 Git commit <code>e9d10c2d</code> 本地 + 看板 v1.9.5 增补</td>
+<td>🆕 新增 BUG-002 缺陷单 + 4 项铁律级落地；总任务 113→114</td>
+</tr>
+<tr>
+<td><strong>v1.9.4-DRAFT 增补（午后 7）</strong></td>
+<td>2026-08-11</td>
+<td>BUG-登录-扫码劫持-001 闭环（DEV_MODE 修复 + nginx <code>/api/dev/</code> 白名单）+ Git commit <code>9e04016b</code> on main + 预生产部署</td>
+<td>Duckula (AI)</td>
+<td>16:24 用户复核方案 2 治本→16:35 团队协作（工程师寇豆码 IS_PASS:YES + QA严过关 11/11 PASS）→16:38 主理人部署（bind mount 源路径 <code>/opt/wecom-it-desk/app/services/qrcode_service.py</code> + nginx reload + 后端容器重启 24s healthy）→16:45 用户真实企微账号登录坐席端/管理后台通过验证</td>
+<td>🔴 P0 仍 1（仅余 NEW8）；✅ 已完成 102→103；总任务 112→113；新增 BUG-登录-扫码劫持-001.md + tests/test_qrcode_hijack_fix.py</td>
+</tr>
+<tr>
+<td><strong>v1.9.4-DRAFT 增补（午后 6）</strong></td>
+<td>2026-08-11</td>
+<td>P0-3 / P0-4 预生产部署闭环（jumpserver-V2）+ dida 双 complete + kanban HTML 公网发布</td>
+<td>Duckula (AI)</td>
+<td>16:08 jumpserver-V2 status=201 缓存有效→upload 3 文件→备份 .bak-p03p04-20260811160814→cp 覆盖→docker restart wecom_it_backend→Up 18s healthy；端到端验证 ClosingService.reopen_conversation 报预期 AppException(1007) 而非 TypeError；get_employee_profile_service() 实例化成功。dida P0-3 <code>6a72c892</code> + P0-4 <code>6a7ad5f0</code> 均 completed（08:13:52/58 UTC）。HTML 58187B 公网 200 OK</td>
+<td>🔴 P0 仍 1（仅余 NEW8）；dida 闭环</td>
+</tr>
+<tr>
+<td><strong>v1.9.4-DRAFT 增补（午后 5）</strong></td>
+<td>2026-08-11</td>
+<td>P0-3 / P0-4 本地修复 + P0-5 描述失真已关闭（disk 实测结构正确）</td>
+<td>Duckula (AI)</td>
+<td>15:26 用户复核→15:30 三项同时落地：① closing_service.py:467 加 <code>timezone.utc</code>（2 行）② main.py lifespan 强制 get_session_local() + employee_profile_service.py:236 改 <code>get_session_local()()</code>（双拦 1+1 行）③ P0-5 描述与磁盘不符，Glob 确认 <code>app/constants/__init__.py</code> (1109B re-export) + <code>app/constants/automation.py</code> (11635B 真模块) 正确</td>
+<td>🔴 P0 4→1；待部署清单：P0-3/P0-4 本地已修+未部署；dida P0-3 待部署后 close + P0-4 需补建任务</td>
+</tr>
+<tr>
+<td><strong>v1.9.4-DRAFT 增补（午后 4）</strong></td>
+<td>2026-08-11</td>
+<td>P0-NEW9/NEW10 调试端点闭环（nginx 边缘层 404）+ f2fd4fa WIP 已推 Gitea feat 分支</td>
+<td>Duckula (AI)</td>
+<td>13:58 nginx 边缘层治理复测通过；14:1x 波动网络推送成功（本地 CONNECT 代理 + 6 块拆分）</td>
+<td>🔴 P0 6→4；✅ 已完成 100→102；feat/task-actions-pivot-v1.8=f2fd4fa 远端落盘</td>
+</tr>
+<tr>
+<td><strong>v1.9.4-DRAFT 增补（午后 3）</strong></td>
+<td>2026-08-11</td>
+<td>P0-NEW11 闭环：应用层关 <code>openapi_url</code>/<code>docs_url</code>/<code>redoc_url</code> + nginx 4 条 <code>return 404</code> 双拦，公网复测三者均 404</td>
+<td>Duckula (AI)</td>
+<td>早班巡检确认公网 <code>/api/openapi.json</code> 312 端点暴露，修复后复测通过</td>
+<td>🔴 P0 7→6；✅ 已完成 99→100；滴答 NEW11 completed</td>
+</tr>
+<tr>
+<td><strong>v1.9.4-DRAFT 增补（午后）</strong></td>
+<td>2026-08-11</td>
+<td>PR #6 合并入 main（task-actions-pivot / 坐席端 TaskDetailView 操作区收纳）</td>
+<td>Duckula (AI)</td>
+<td>Gitea PR #6 经评审合并（绕过单用户审批门禁 405）</td>
+<td>✅ 已完成 98→99；总任务 110→111；仍 v20260808（未部署）</td>
+</tr>
+<tr>
+<td><strong>v1.9.4-DRAFT 增补（午后 2）</strong></td>
+<td>2026-08-11</td>
+<td>REQ-通用-006 预生产测试通道上线（DEV_MODE + nginx 内网闸门 + 三端测试登录）</td>
+<td>Duckula (AI)</td>
+<td>三端企微 OAuth 无法自动化测试痛点闭环</td>
+<td>✅ 已完成 99→100；总任务 111→112</td>
+</tr>
+<tr>
 <td><strong>v1.9.4-DRAFT</strong></td>
 <td>2026-08-11</td>
-<td>🆕 早班巡检触发的治理小版本（<strong>5 项关键发现</strong>）：① <strong>🔴 公网版本停滞 3 天</strong>（NEW）：jumpserver-V2 + 公网 <code>curl</code> 实测 <code>/h5/go</code> 仍 <code>302 → /h5/v20260808/</code>（08-08 09:30 last deploy，3 天无新发版）；/itservice/go 同样 ② <strong>🔴 P0-NEW9/NEW10 仍 200 暴露</strong>：容器内 <code>curl /health</code> 200 + 公网 <code>/api/test-ping</code> 200 含 pong + <code>/api/test-error</code> 200 + <code>/api/openapi.json</code> 200 OK 424122B（312 端点全公开） ③ <strong>🔴 风险 /h5/ 今日到期</strong>：dida <code>6a752de4</code> due 2026-08-11 16:00，今晚不修即逾期 ④ <strong>🔴 P0-3 closing_service 时区错位 5 → 8 天</strong>：dida <code>6a72c892</code> 仍 status=0，due 08-06 已逾期 5 天 ⑤ <strong>🟡 BLK-A/B 30 → 31 天阈值校正</strong>（2026-07-11 → 2026-08-11）。<strong>新增</strong>：P0-NEW11（/api/openapi.json 独立 task，从 P0-NEW10 拆分）+ 风险-2（公网版本停滞）。看板：🔴 P0 6→7 / 🟡 P1 6（持平）/ 🟢 等决策 31 天阈值（30→31）/ ⚠️ 风险项 1→2 / 总任务 109→110。<strong>v1.9.3-DRAFT 1 天未冻结</strong>（08-10 09:00 → 08-11 09:00），本次合并入 v1.9.4 待审</td>
+<td>早班巡检 5 项关键发现（版本停滞 / NEW9-10 暴露 / 风险 /h5/ / P0-3 / BLK 阈值）</td>
 <td>Duckula (AI)</td>
+<td>2026-08-11 09:00 早班巡检实测</td>
+<td>🔴 P0 6→7；⚠️ 风险项 1→2；总任务 109→110；新增 P0-NEW11 + 风险-2</td>
 </tr>
 <tr>
 <td><strong>v1.9.3-DRAFT</strong></td>
 <td>2026-08-10</td>
-<td>🆕 早班巡检触发的治理小版本（<strong>4 项关键发现</strong>）：① <strong>P0-1 /itportal/ 500 修复闭环</strong>：nginx.conf line 139-142 已 08-03 部署生效，今日公网实测 500→404（rewrite cycle 消失），P0-1 从"待部署"迁入"已完成"区（2026-08-03 完成日） ② <strong>dida365 双向校验发现 4 处反向脱节</strong>：dida <code>6a6bfc2be</code> sensitive_words 13 端点补 auth 看板已完成但 dida 仍 status=0（本次同步 close）+ dida <code>6a705109</code> Alembic 053-057 迁移脱节 / dida <code>6a70510f</code> troubleshooting_templates 索引 / dida <code>6a752de4</code> Nginx /h5/ alias+try_files 潜伏500 看板缺失（补登） ③ <strong>console 残留 128 → 129</strong>（h5 不变 / agent 17→20 新增 3 处 / terminal 7→8 新增 1 处） ④ <strong>BLK-A/B 26 → 30 天阈值校正</strong>（2026-07-11 → 2026-08-10）。新增 P0-NEW10（debug 端点全清单治理）+ P1 治理-2/3（看板-滴答双向同步铁律升级）。看板：🔴 P0 6（持平，P0-1 闭环 + P0-NEW10）/ 🟡 P1 2→5（Alembic/Idx/治理-2/治理-3 补登）/ ✅ 已完成 97→98 / ⚠️ 风险项 0→1</td>
+<td>早班巡检 4 项发现（P0-1 闭环 / dida 反向脱节 / console 129 / BLK 阈值）</td>
 <td>Duckula (AI)</td>
+<td>2026-08-10 09:00 早班巡检</td>
+<td>🔴 P0 6；🟡 P1 2→5；✅ 已完成 97→98；⚠️ 风险项 0→1</td>
 </tr>
 <tr>
 <td>v1.9.2-DRAFT</td>
 <td>2026-08-08</td>
-<td>🆕 早班巡检触发的治理小版本：<strong>dida365 自动同步 6 项</strong>（close 3 / create 3）——close <code>6a6bfc29</code> [P0→P3] /h5/ 404、close <code>6a72c88d</code> [P0-2] sensitive_words 13 端点、close <code>6a72c897</code> [P1-1] console 208 行（但发现仍残留 128 行，二次治理由 P1-1.1 承担）；create <code>6a76a80d</code> [P0-NEW9] /api/test-ping 生产暴露、create <code>6a76a802</code> [P1-1.1] console 二次清理、create <code>6a76a809</code> [P1 治理-看板-滴答双源同步]。看板：🔴 P0 5→6 / 🟡 P1 0→2 / ✅ 已完成 94→97（基础计数 v1.9.1 100 + P0-NEW9 + P1-1.1 + P1 治理-1 = 104）。同步时间戳：2026-08-08 03:52 UTC</td>
+<td>dida365 自动同步 6 项（close 3 / create 3）+ 新增 P0-NEW9</td>
 <td>Duckula (AI)</td>
+<td>2026-08-08 03:52 UTC dida 同步</td>
+<td>🔴 P0 5→6；🟡 P1 0→2；✅ 已完成 94→97</td>
 </tr>
 <tr>
 <td>v1.9.1 补录2</td>
 <td>2026-08-07</td>
-<td>✅ 【P0】#104 运行期结构化日志查看页 <strong>结案</strong>：jumpserver-V2 生产实测四项证据齐备（管理页 200 / 前端 chunk 含筛选+下载命中行 / 后端端点已挂载（4004 = #48 IP 白名单预期门禁，非故障）/ 日志源 JSON 持续写入）。从「待开始」区迁入「最近完成」区；待开始 0 项；已完成 93→94。滴答清单同步完成</td>
+<td>#104 运行期结构化日志查看页结案</td>
 <td>Duckula (AI)</td>
+<td>2026-08-07 jumpserver 生产实测结案</td>
+<td>待开始 0；已完成 93→94</td>
 </tr>
 <tr>
 <td>v1.9.1 补录</td>
 <td>2026-08-07</td>
-<td>✅ P1【补齐 Nginx 生产安全响应头】已修复并关闭：生产 nginx.conf 注入 7 安全头（server 级 + 各含 add_header 的 location 内，均带 always），nginx -t 通过 + docker restart wecom_it_nginx，origin 与公网(WAF)双验证通过。补录至最近完成区；已完成 92→93</td>
+<td>P1 补齐 Nginx 生产安全响应头（7 头）</td>
 <td>Duckula (AI)</td>
+<td>2026-08-07 安全巡检修复</td>
+<td>已完成 92→93</td>
 </tr>
 <tr>
 <td><strong>v1.9.1-FROZEN</strong></td>
-<td>2026-08-06 11:50</td>
-<td>✅ 冻结：P0-NEW7（看板-部署脱节）已修复。nginx <code>/docs/</code> 路由上线 + docker-compose.yml docs-public 挂载生效；外部 URL 实测 200。修复期间发现并新增 P0-NEW8（host 文件结构 vs git 仓库结构差异）。归档副本 <code>项目状态看板-v1.9.1-FROZEN.html</code></td>
-<td>Duckula (AI)</td>
+<td>2026-08-06</td>
+<td>冻结（P0-NEW7 看板-部署脱节已修复）</td>
+<td>Simon（审核）</td>
+<td>PM 审核通过</td>
+<td>归档 <code>项目状态看板-v1.9.1-FROZEN.html</code></td>
 </tr>
 <tr>
 <td><strong>v1.9.0-FROZEN</strong></td>
-<td>2026-08-06 11:36</td>
-<td>✅ 冻结：v1.9-DRAFT 内容经 PM 审核通过正式生效；归档副本 <code>项目状态看板-v1.9.0-FROZEN.html</code>；<strong>修正 v1.8.0 起"对外发布"声明与现实脱节</strong>（nginx <code>/docs/</code> 路由从未生效，已添加 P0-NEW7 看板-部署脱节）；HTML 文件已上传至 jumpserver <code>/opt/wecom-it-desk/docs-public/kanban/</code> + <code>/inspection/2026-08/</code>，但 nginx 服务不可达（详见 P0-NEW7）</td>
+<td>2026-08-06</td>
+<td>冻结 v1.9-DRAFT（修正服务发布声明脱节）</td>
 <td>Simon（审核）</td>
+<td>PM 审核通过</td>
+<td>归档 v1.9.0-FROZEN；新增 P0-NEW8</td>
 </tr>
 <tr>
 <td>v1.9.0-DRAFT</td>
 <td>2026-08-06</td>
-<td>🆕 草稿：① P0 必做 4→5（P0-2 修复迁移至已完成 + P0-5 打包错误 + P0-6 OAuth 信息类 + P0-4 行号描述修正）② P1 重要 1→0（P1-1 清理迁移至已完成）③ 已完成 88→91 ④ 等用户决策 25→26 天阈值 ⑤ 总任务数 96→99 ⑥ 看板顶部版本号自动切换为 draft badge ⑦ 看板与现实脱节条目得到修正</td>
+<td>草稿（P0 必做 / P1 重要 / 等决策分区重构 + 计数）</td>
 <td>Duckula (AI)</td>
+<td>看板结构升级</td>
+<td>总任务数 96→99</td>
 </tr>
 <tr>
 <td><strong>v1.8.0-FROZEN</strong></td>
-<td>2026-08-05 19:37</td>
-<td>✅ 冻结：v1.8-DRAFT 内容经 PM 审核通过正式生效；归档副本 <code>项目状态看板-v1.8.0-FROZEN.html</code>；<strong>⚠️ 服务发布声明脱节</strong>（声称发布至 <code>https://itsupport.servyou.com.cn/docs/kanban/</code> + <code>/docs/inspection/</code> 实际 404——nginx 无 <code>/docs/</code> 路由，v1.9 已修正声明并新增 P0-NEW7 治理）</td>
+<td>2026-08-05</td>
+<td>冻结 v1.8-DRAFT</td>
 <td>Simon（审核）</td>
+<td>PM 审核通过</td>
+<td>归档 v1.8.0-FROZEN（声明脱节待 P0-NEW7 修正）</td>
 </tr>
 <tr>
 <td>v1.8-DRAFT</td>
 <td>2026-08-05</td>
-<td>🆕 草稿：新增 🔴 P0 必做分区（4 项）/ 🟡 P1 重要分区（1 项）/ 🟢 等用户决策分区（2 项，25 天阈值）；总任务数 92→96；引入 4 维分类（新增/历史遗留/信息/建议）；附 HTML 巡检报告归档路径</td>
+<td>草稿（新增 3 分区 + 4 维分类）</td>
 <td>Duckula (AI)</td>
+<td>看板分区重构</td>
+<td>总任务数 92→96</td>
 </tr>
 <tr>
 <td>v1.7</td>
 <td>2026-08-03</td>
-<td>#81 状态反转：v1.1 阶段1 已完成（07-28）→ 进行中；新增今日完成项 troubleshooting_templates 5 端点 + /itportal 500 修复；统计 92/87/1/1/5/2</td>
+<td>#81 状态反转 + 今日完成项入库</td>
 <td>Duckula (AI)</td>
+<td>阶段状态更新</td>
+<td>统计 92/87/1/1/5/2</td>
 </tr>
 <tr>
 <td>v1.5</td>
 <td>2026-07-30</td>
-<td>追加 BUG-用户-003 修复完成项（H5 结束会话失败回归）；总任务数 90→91；已完成 84→85；关联 TC-用户-008；待开始不变</td>
+<td>BUG-用户-003 修复完成</td>
 <td>Duckula (AI)</td>
+<td>2026-07-30 修复</td>
+<td>总任务 90→91；已完成 84→85</td>
 </tr>
 <tr>
 <td>v1.4</td>
 <td>2026-07-24</td>
-<td>批量完成项入库（批次 1-4 重构 / D1 合并 / 文档重组 / #124 坐席接单按钮 / #125 H5 选项消息）</td>
+<td>批量完成项入库（批次1-4 / D1 / 文档重组 / #124 / #125）</td>
 <td>Simon</td>
+<td>2026-07-24 收编</td>
+<td>多任务迁入完成区</td>
 </tr>
 </tbody>
 </table>
   </main>
 
   <footer>
-    本页面由 <code>build_kanban_html.py</code> 自动生成于 2026-08-11 09:26 (GMT+8) · 数据源：docs/07-项目管理/项目状态看板.md<br>
+    本页面由 <code>build_kanban_html.py</code> 自动生成于 2026-08-12 10:16 (GMT+8) · 数据源：docs/07-项目管理/项目状态看板.md<br>
     修改流程：编辑 .md → 跑脚本生成 .html → （可选）部署到 jumpserver → commit & push
   </footer>
 </div>
diff --git a/docs/07-项目管理/项目状态看板.md b/docs/07-项目管理/项目状态看板.md
index fcbd59a..cd49c32 100644
--- a/docs/07-项目管理/项目状态看板.md
+++ b/docs/07-项目管理/项目状态看板.md
@@ -1,9 +1,71 @@
 # 项目状态看板
 
-> **版本**: v1.9.4-DRAFT | **更新日期**: 2026-08-11（早班巡检同步增补，未冻结）
-> **变更来源**: 2026-08-11 09:00 早班巡检：jumpserver-V2 + 公网实测发现 **公网版本停滞 3 天**（/h5/go 仍 v20260808，08-08 last deploy）+ P0-NEW9/NEW10 仍 200 暴露（`/api/test-ping` 返 pong，`/api/openapi.json` 200 OK 424122B）+ console 残留稳定 129 行 + 风险 /h5/ 今日到期 + BLK 30→31 天阈值校正 + v1.9.3-DRAFT 1 天未冻结（本次合并入 v1.9.4 待审）
-> **执行人**: Duckula（AI）· **审核人**: 待 Simon 审核
-> **基础版本**: v1.9.3-DRAFT（2026-08-10 早班巡检）
+> **版本**: v1.9.7-DRAFT
+> **更新日期**: 2026-08-12（早班巡检 + P0-NEW12 **修复闭环 v1.1** + 公网 12 端点 + 容器内 6 端点全 4xx）
+> **状态**: [待评审]
+> **作者**: Duckula（AI）
+> **审核人**: 待 Simon 审核
+> **基础版本**: v1.9.6-DRAFT（2026-08-12 早班巡检 + P0-NEW12 发现）
+> **本次增量**: P0-NEW12 v1.1 修复闭环（debug.py 集中 + app_env 优先 + 公网 12/12 + 容器内 6/6 验证全 4xx）
+> **关联文档**:
+>   - 规范：`docs/00-产品开发流程与文档管理规范.md`（product-doc-standard 治理文件，§5.2 头部模板）
+>   - 版本索引：`docs/00-版本迭代总览.md`
+>   - 安全报告：`deliverables/openapi_exposure_report.md`（P0-NEW11 闭环证据）
+>   - 本次 Bug 单：`docs/03-测试文档/05-缺陷单/BUG-登录-测试账号面板不显示-002.md`（2026-08-11 19:30 闭环）
+>   - 前置 Bug 单：`docs/03-测试文档/05-缺陷单/BUG-登录-扫码劫持-001.md`
+>   - **本次新增治理项**：`P0-NEW12` 应用层 debug 端点（/test-ping /test-error /version）未真正移除 — 容器内仍 200，仅 nginx 边缘层兜底 404
+> **变更来源**: 2026-08-12 09:00 早班巡检：jumpserver-V2 + 公网 curl 实测发现 **① 公网版本停滞解除**（/h5/go → /h5/v20260811/、/itservice/go → /itservice/v20260811/，08-11 19:30 BUG-002 修复后已重新发版）**② P0-NEW12 应用层 debug 端点代码层根因**：jumpserver-V2 容器内 `python urllib` 实测 `/test-ping` 200 pong + `/test-error` 200 返"服务器内部错误" + `/version` 200 `1.1.0` + `/openapi.json` 404（P0-NEW11 应用层修复已生效）**③ 容器/资源全绿**（5 容器 all healthy、磁盘 130G、内存 12151MB available、uptime 60 天 17 时）**④ v1.9.5-DRAFT 14h 未冻结**：本次合并入 v1.9.6 待审
+
+## 📌 v1.9.6 增补说明（2026-08-12 早班巡检 / 公网版本停滞解除 + P0-NEW12 应用层 debug 端点代码层根因）
+
+- **🟢 公网版本停滞 3 天 → 已解除（2026-08-12 09:00 公网实测）**：
+  - `curl -sI https://itsupport.servyou.com.cn/h5/go` → **302 → /h5/v20260811/** ✅
+  - `curl -sI https://itsupport.servyou.com.cn/itservice/go` → **302 → /itservice/v20260811/** ✅
+  - 风险-2「公网版本停滞 3 天」本次关闭：v1.9.5 19:30 BUG-002 闭环时已同步完成 H5 版本化 v20260808→v20260811 + 两 go 302 重指，08-12 公网实测确认生效
+- **🔴 P0-NEW12 应用层 debug 端点代码层根因（NEW 实测发现）**：
+  - **触发**：08-12 09:00 早班巡检为核实 P0-NEW9/NEW10 修复真实状态，jumpserver-V2 容器内用 `python urllib` 直接测 FastAPI 应用层（不走 nginx）
+  - **实测证据**：
+    - `wecom_it_backend:8000/test-ping` → **200** `{"code":0,"data":{"message":"pong"},"message":"success"}`
+    - `wecom_it_backend:8000/test-error` → **200** `{"code":1005,"data":null,"message":"服务器内部错误，请稍后重试或联系管理员"}`
+    - `wecom_it_backend:8000/version` → **200** `{"service":"wecom-it-smart-desk","version":"1.1.0","build":"unknown"}`
+    - `wecom_it_backend:8000/openapi.json` → **404** ✅（P0-NEW11 应用层修复已生效，openapi_url=None）
+  - **结论**：公网 404 实测（P0-NEW9/NEW10 闭环证据）**仅来自 nginx 边缘层兜底**，应用层 `/test-ping` `/test-error` `/version` 仍注册并返回 200。**若 nginx 配置被误改回 / 失效，攻击者可直连 backend:8000 拿到调试端点**—— 真实防护薄弱。代码层根因（移 debug.py 仅非生产加载）正式立项 P0-NEW12 跟踪。
+  - **建议修复**（PM 决策）：① `app/api/debug.py` 集中所有诊断端点，仅 `settings.app_env != 'production'` 加载 ② `_is_dev_mode()` 包裹整个诊断区段（与 main.py:932 周边模式一致） ③ FastAPI 实例化按环境变量切 `openapi_url`/`docs_url`/`redoc_url`（NEW11 已部分实现，需扩展到 /test-ping 等）
+- **🟢 BUG-002 修复链路持续生效（公网 + 容器内双重验证）**：
+  - `/api/dev/login?userid=dev-agent-001` 公网 → **403**（nginx 内网闸门 `allow 10/8,172.16/12,192.168/16 + deny all` 生效）
+  - `/itportal/` → **404**（rewrite cycle 仍受控，nginx 配置清理闭环）
+  - `/h5/` → **200**（BUG-002 修复后 v20260811 正常加载 index.html）
+- **🟢 容器/资源全绿**（jumpserver-V2 inspect 09:10）：
+  - 5 容器 all healthy：wecom_it_nginx/backend 15h + redis 3w + neo4j/postgres 4w
+  - 磁盘 130G 可用（13%），内存 12151MB available，load 0.68/0.71/0.68（**60 天 17 时 uptime**）
+  - 后端 `/app/logs/` 6 文件：active 6.7MB + 5×20MB 轮转（最后轮转 2026-08-11 11:02，今日 02:12 最后写入 reminder_task）
+  - nginx config test OK
+- **🟢 dida 任务状态**（08-12 09:00 双向校验）：
+  - P0 列：4 项任务全部 completed（NEW9/NEW10/NEW11 + P0-3），无新建需求
+  - P1 列：6 项仍 status=0（P1-1.1 二次治理 console 129 行 **due 08-12 今日到期** + P1-Alembic 已逾期 3 天 + P1-Idx 已逾期 5 天 + 治理-1/2/3 推进中）
+  - 风险 /h5/ 潜伏 500 隐患 `6a752de4` 已逾期 2 天
+  - BLK-A/B 32 天阈值（08-12 自 07-11 已 32 天）
+- **🟢 v1.9.5-DRAFT 14h 未冻结**：08-11 19:30 闭环后未升级 FROZEN，本次合并入 v1.9.6 待审
+
+## 📌 v1.9.5 增补说明（2026-08-11 晚间 / BUG-登录-测试账号面板不显示-002 闭环 + 4 项配套铁律级落地）
+
+- **🟢 BUG-登录-测试账号面板不显示-002 闭环（2026-08-11 19:30）**：用户反馈"用户端页面是历史老版本"→ 经双层诊断找到双根因：
+  - **根因 1（前端代码 BUG）**：`src/frontend-h5/src/views/Login.vue:297` 写错 `if (resp?.data?.data?.dev_mode)`（多一层 `.data`），但 `src/api/index.ts:80` axios 拦截器已 `return res.data as any`，调用方拿到的就是 inner data → 测试账号登录面板客户端永不显示
+  - **根因 2（H5 dist 路径铁律级 BUG）**：`deploy_h5.py:45` + `deploy-staging/deploy-h5.sh:26-32` 写的是 `/opt/wecom-it-desk/frontend-h5/dist`（**无 src/**），但 `docker inspect` 实证容器 mount 源是 `/opt/wecom-it-desk/src/frontend-h5/dist`（**有 src/**）→ 部署后线上还是老 hash
+  - **附带根因 3（/api/dev/health 路径错配）**：`dev_auth.py:31` `prefix="/dev"` + nginx `proxy_pass http://backend_api/`（带 trailing slash 剥前缀）→ 后端 `/api/dev/health` 拿到的是 `/health` 兜底响应，不是 dev_health 真实响应
+- **修复链路**：① Login.vue:297 一行修复 `resp?.dev_mode` ② pnpm build 3.38s（避开 safe-delete 坑）③ deploy_h5.py v20260811b + 远端 mv 修正路径到 `src/frontend-h5/dist` + docker restart nginx ④ 远端 dev_auth.py 部署（prefix → /api/dev）+ docker restart backend ⑤ nginx.conf 部署（proxy_pass 去 trailing slash）+ nginx -t + nginx -s reload（备份 .bak-bug002-20260811）⑥ 远端清理 `/opt/wecom-it-desk/frontend-h5/dist` 错位置 dist（保留所有 dist_bak_* 备份）
+- **真实验证（公网 curl）**：`curl https://itsupport.servyou.com.cn/api/dev/health` → 200 OK + `{"code":0,"data":{"dev_mode":true,"env":"production","database_url":"...","redis_url":"...","preset_users":6},"message":"success"}` ✅ 用户本地访问 `/h5/` 验证 Login 页"测试账号登录"面板正常显示
+- **4 项铁律级落地**：
+  1. `deploy_h5.py:45` REMOTE_DIST_DIR = `/opt/wecom-it-desk/src/frontend-h5/dist`（加铁律注释）
+  2. `deploy-staging/deploy-h5.sh:26-32` cp 路径同样改 `src/frontend-h5/`（加铁律注释）
+  3. `dev_auth.py:31` router prefix = `/api/dev`（与 nginx 对齐）
+  4. `nginx.conf:175` proxy_pass = `http://backend_api`（去 trailing slash，原样转发）
+- **Git commit（本地）**：`e9d10c2d98e1ad25d0dbfdd8b052778adb8e50d1` on main（write-tree + commit-tree + printf 铁律流程，未推 Gitea 因 Tailscale NoState）
+- **项目记忆沉淀**：MEMORY.md 新增**踩坑 D（H5 dist 路径铁律）** + **BUG-002 完整记录**
+- **遗留待办**：① 内网用户验证 Login 面板实际显示（需 VPN）② 残余低优风险 ticket（`process_scan code=None` 防御、`_dev_extract_user` docstring）③ 自动化测试 `tests/test_login_test_panel_fix.py` 待补
+
+
+- **🟢 BUG-登录-扫码劫持-001 闭环（2026-08-11 16:45）**：坐席端/管理后台扫码登录被 `DEV_MODE=true` 无条件劫持为 dev-user-001（员工角色）→ 真实用户无法进入坐席端（需 agent）和管理后台（需 admin）。**根因**：`src/backend/app/services/qrcode_service.py:260` `if _dev_mode_enabled():` 无条件走 DEV 模拟；**修复**：判断改为 `if _dev_mode_enabled() and code.startswith("dev:"):`（仅 dev 约定 code 走模拟，其他一律调企微 API）。**附带修复**：`nginx/nginx.conf` `/api/dev/` 白名单新增公司互联网出口 IP（115.227.36.10 / 117.147.35.138 / 218.75.34.87）恢复测试账号登录入口。**真实验证**：① 真实企微 code → 后端日志 `qrcode_service.py:270 _fetch_oauth_user` 调企微 API（企微拒绝假 code "invalid code"，符合预期）② `dev:dev-admin-001` → 仍走 DEV 模拟 `[DEV] 扫码回调模拟: employee_id=dev-admin-001`（自动化测试零回归）③ 用户真实企微账号扫码登录坐席端/管理后台 → **可正常登录 ✅**。**修复链路**：① 团队 `software-bugfix-qrcode-hijack`（主理人 Duckula + 工程师寇豆码 IS_PASS:YES + QA严过关 11/11 PASS, 路由 NoOne）② Git commit `9e04016b` on main（附在 `f2fd4fa` 后）③ 部署：bind mount 源路径 `/opt/wecom-it-desk/app/services/qrcode_service.py`（非 `src/backend/app`，双目录铁律）+ sudo cp /opt/wecom-it-desk/nginx/nginx.conf + `nginx -t` ok + `nginx -s reload` + `docker restart wecom_it_backend`（24s healthy）。**遗留低优风险**（QA 发现，与本次 BUG 不同类）：① `code=None` 时 `code.startswith("dev:")` 抛 `AttributeError` ② `_dev_extract_user` docstring 返回类型标注错（`tuple[str,str]` 实际返 3-tuple）。详见 `docs/03-测试文档/05-缺陷单/BUG-登录-扫码劫持-001.md`、`tests/test_qrcode_hijack_fix.py`（11 用例 0.66s）。
 
 ## 📌 v1.9.4 增补说明（2026-08-11 早班巡检触发）
 - **🔴 公网版本停滞 3 天（NEW 关键发现）**：jumpserver-V2 + 公网 `curl` 实测 `/h5/go` 仍 `302 → /h5/v20260808/`（08-08 09:30 last deploy）；`/itservice/go` 同样指向 v20260808。意味着自 v1.9.3 看板升级（08-10 09:00）至今无新发版，**前端优化 PR 与 dida 任务 P0-NEW9 修复均未发布**。看板 HTML 仍是 v1.9.3（08-10 09:26 上传）—— 看板与前端代码不同步，但服务器 HTML 仍为最新。
@@ -19,7 +81,9 @@
   - 磁盘 129G 可用（13%），内存 11Gi available，负载 0.64/0.73/0.69，**59 天 uptime**
   - 后端容器日志：6 文件（active 17.3MB + 5×20MB 轮转，2026-08-08 23:33 最后轮转，3 天前）
   - nginx config test OK
-- **🟢 dida365 同步状态**：v1.9.4 本次巡检前 dida 已记录 11 项（P0-NEW9/NEW10 + P0-3 + P1-1.1 + P1-治理-1 + P1-Alembic + P1-Idx + BLK-A + BLK-B + 风险 /h5/）；v1.9.3 同步的 1 项 `6a6bfc2be` sensitive_words 13 端点 仍 status=2 闭环；新增 P0-NEW11 与 P1-1.1 二次治理作为新治理项。
+- **🟢 dida365 同步状态**：v1.9.4 本次巡检前 dida 已记录 11 项（P0-NEW9/NEW10 + P0-3 + P1-1.1 + P1-治理-1 + P1-Alembic + P1-Idx + BLK-A + BLK-B + 风险 /h5/）；v1.9.3 同步的 1 项 `6a6bfc2be` sensitive_words 13 端点 仍 status=2 闭环；新增 P0-NEW11 与 P1-1.1 二次治理作为新治理项。**午后新增 PR-6 dida 任务 `6a7a8a69e4b06898044f3530`（task-actions-pivot 合并，已完成，与看板"最近完成"区对齐），dida 现 12 项。** 午后新增 REQ-通用-006 dida 任务（预生产测试通道上线，已完成，与看板"最近完成"区对齐），dida 现 13 项。
+- **🟢 PR #6 合并入 main（task-actions-pivot / 坐席端 TaskDetailView 操作区主操作+⋯ 收纳）**：2026-08-11 09:35–09:47 经 Gitea 合并。绕过单用户仓库 PR 审批门禁 405（用 `merge-tree`+`commit-tree` 造合并提交 `9fcee9df` 直推未保护 `main`），PR 记录 `PATCH` 为 `closed`。对应 commit：`f1b12b7` feat(agent): TaskDetailView 操作区主操作+⋯ 收纳（PRD-REQ-坐席-011 §6.4 决策 C-8）+ `6be361f` kanban: v1.9.4 巡检同步。**状态：已合并 main，尚未发版部署**（与"⚠️ 风险-2 公网版本停滞 3 天"一致——`/h5/go` 仍 v20260808）。本地另存 WIP 快照 `f2fd4fa`（447 文件，docs/memory/h5.py/scripts 未评审改动）于 `feat/task-actions-pivot-v1.8`：未合入 main，**2026-08-11 14:1x 已推 Gitea `feat/task-actions-pivot-v1.8` = f2fd4fa**（走本地 CONNECT 代理 + 6 块拆分推送，绕波动网络随机断连；`ls-remote` 校验落盘，临时 `upload-buffer` 分支已删）。
+- **🟢 REQ-通用-006 预生产测试通道已上线（2026-08-11 12:00 完成）**：三端企微 OAuth 无法自动化测试的痛点闭环。**已部署预生产（10.90.5.110）并验证全绿**：① 预生产 compose 注入 `DEV_MODE=true`（备份 `docker-compose.yml.bak-testch-20260811`），`/api/dev/*` 三端 mock 登录（login_source=dev）② nginx `location /api/dev/` 内网闸门（allow 10/8,172.16/12,192.168/16 + deny all，备份 `nginx.conf.bak-testch-20260811`）——**公网实测 `/api/dev/*` 403、`/api/health` 200 未误伤** ③ 三端 Login.vue「测试账号登录」面板（探测 `/api/dev/health` 决定可见性，公网自动隐藏）④ H5 版本化 v20260808→v20260811（两 go 302 重指，备份 `nginx.conf.bak-h5v20260811`）。commit `c1d5dd5`（11 文件 985 行）已推送 ds923plus main。文档链五件套齐备（PRD/技术方案/任务说明书/TC/DEPLOY）。**环境分层决策**：10.90.5.110=预生产，未来生产=单独申请分布式资源（K8s）
 
 > 📐 **文档管理策略（2026-08-05 锁定 / 2026-08-06 修订 / v1.9.1 生效）**  
 > 本看板遵循 **Markdown 单一源原则**：
@@ -50,31 +114,19 @@
   - close `6a6bfc2be4b03a0a8af7f702`（sensitive_words 13 端点，状态 0→2，completedTime 2026-08-10 01:25 UTC）
   - 看板-滴答清单双向同步铁律扩展：dida→看板反向同步同样纳入铁律
 
-> 📐 **文档管理策略（2026-08-05 锁定 / 2026-08-06 修订 / v1.9.1 生效）**  
-> 本看板遵循 **Markdown 单一源原则**：
-> - **权威源** = 本 `项目状态看板.md`（Git 版本控制 / 程序解析 / PR review 均基于此）
-> - **人看副本** = `项目状态看板.html`（由 `scripts/build_kanban_html.py` 自动派生，**不手维护**）
-> - **归档副本** = `项目状态看板-v1.X.Y-FROZEN.html`（每次冻结生成一份，永久保留）
-> - **服务发布** = 文件上传至 jumpserver `/opt/wecom-it-desk/docs-public/{kanban,inspection}/`，**✅ v1.9.1 起已可对外访问**：nginx.conf 加 `location /docs/` 路由 + docker-compose.yml 加 docs-public 挂载 + reload 已生效。外部 URL 实测：
->   - 看板：https://itsupport.servyou.com.cn/docs/kanban/项目状态看板.html
->   - 巡检：https://itsupport.servyou.com.cn/docs/inspection/2026-08/2026-08-06-早班.html
-> - 修改流程：改 .md → 跑脚本生成 .html → 归档副本 → 跑部署脚本上传 → commit & push
-
----
-
 ## 📊 看板概览
 
 | 状态 | 数量 | 变化 |
 |------|------|------|
-| 🔴 P0 必做 | 7 | +1（P0-NEW11 /api/openapi.json 312 端点公开治理） |
+| 🔴 P0 必做 | 1 | -2（P0-NEW9/NEW10 已闭环 2026-08-11）+1（P0-NEW12 应用层 debug 端点代码层根因，08-12 早班发现）-1（P0-NEW12 v1.1 已闭环 08-12 10:55） |
 | 🟡 P1 重要 | 6 | 持平 |
-| 🟢 等用户决策 | 2 | 持平（**31 天阈值**，从 30 天修正） |
+| 🟢 等用户决策 | 2 | 持平（**32 天阈值**，从 31 天修正：08-12 自 07-11 已 32 天） |
 | 🟠 进行中 | 1 | 持平 |
 | 🏷️ 看板治理 | 3 | 持平 |
 | 🟡 待开始 | 0 | 持平 |
 | ⏸️ 暂停 | 5 | 持平 |
-| ✅ 已完成 | 98 | 持平 |
-| ⚠️ 风险项 | 2 | +1（公网版本停滞 3 天，/h5/go 仍 v20260808，08-08 09:30 last deploy） |
+| ✅ 已完成 | 102 | +1（BUG-登录-测试账号面板不显示-002 双根因修复 + 4 项铁律级落地） |
+| ⚠️ 风险项 | 1 | -1（公网版本停滞 3 天已解除：/h5/go → v20260811、/itservice/go → v20260811） |
 
 ---
 
@@ -85,19 +137,24 @@
 
 | 任务ID | 任务名称 | 类别 | 阻塞时长 | 状态 | 说明 |
 |--------|----------|------|----------|------|------|
-| **P0-3** | `closing_service.py:467` datetime 时区错位 | ♻️ 历史遗留 | **8 天**（自 2026-08-03） | 🔴 待修复 | `datetime.now() - close_time` 报 `TypeError: can't subtract offset-naive and offset-aware datetimes`。影响 `POST /h5/conversations/current/reopen`。同文件 18 处 `datetime.now()` 全是 naive，且 `from datetime import datetime, timedelta` 未 import timezone。dida `6a72c892` due 2026-08-06 已逾期 5 天，**v1.9.4 校正**：阻塞时长 7 → 8 天 |
-| **P0-4** | `employee_profile_service.py:236` SessionLocal NoneType 🔥 | 🆕 位置修正 | <1 天 | 🔴 待修复 | **看板 v1.8 行号描述错误**：实际错误位置是 `app/services/employee_profile_service.py:236` 而非 `h5_ai_task.py:1198`。`db = SessionLocal()` 返回 None → `TypeError: 'NoneType' object is not callable`。2026-08-05 24h 内累计 10+ 次（01:33 / 03:25 / 04:07 / 04:11 多波次），影响 H5 IT 资产推荐异步推送。**同根因 P0-5** |
-| **P0-5** | 容器 `app/constants/` 打包错误 🔥 | 🆕 新增 | 🆕 | 🔴 待修复 | 容器内 `/app/app/constants/__init__.py` 11635 bytes 内容是 automation.py（两个文件互换了），`/app/app/constants/automation.py` **不存在**。直接后果：连续 10+ 次 `ModuleNotFoundError: No module named 'app.constants.ai_reply_mode'` + 同根因连锁导致 P0-4（SessionLocal 绑定失败）。建议：① 临时 `docker cp` 修补 → ② 长期排查 backend 镜像构建流程（Dockerfile `COPY . .` 是 OK 的，最可能是 deploy 脚本里将 automation.py 重命名为 `__init__.py`） |
+| **P0-3** | `closing_service.py:467` datetime 时区错位 | ♻️ 历史遗留 | **8 天**（自 2026-08-03） | ✅ 已修复 | **2026-08-11 16:08 预生产部署闭环**：`from datetime import datetime, timedelta, timezone` + 行 467 `elapsed = datetime.now(timezone.utc) - close_time`（2 行改动）。**端到端验证**：jumpserver-V2 直接调 `ClosingService.reopen_conversation("sxn", "61ba5bbb-...")` → 报 `AppException 已超过 24 小时重开窗口`（预期行为，原 TypeError 已消失）。dida `6a72c892` 已 completed 对齐（completedTime 2026-08-11 08:13:52 UTC）。建议后续审计同文件行 658/673/687 同模式（`datetime.now() - timedelta(...)` 与 SQL 列比较），本次未动（未触发报错，但同坑潜在）。**部署链路**：① 备份 `/opt/wecom-it-desk/app/{main.py,services/closing_service.py,services/employee_profile_service.py}.bak-p03p04-20260811160814` ② cp 覆盖 + chown 197609:197609 ③ `docker restart wecom_it_backend` → `Up 18 seconds (healthy)` ④ /health 200 OK + /ready 200 OK {db:ok, redis:ok} |
+| **P0-4** | `employee_profile_service.py:236` SessionLocal NoneType 🔥 | 🆕 位置修正 | <1 天 | ✅ 已修复 | **2026-08-11 16:08 预生产部署闭环**：① `app/main.py` lifespan 加 `from app.models.base import get_session_local; get_session_local()` 强制初始化（1 行 startup）② `employee_profile_service.py:236` `db = SessionLocal()` → `db = get_session_local()()`（1 行代码改动）。双拦：startup 兜底 + 调用方主动走懒初始化触发器。**端到端验证**：jumpserver-V2 直接调 `get_employee_profile_service().get_profile_dict("sxn")` → 实例化成功 + 返回 dict（外部 API 空）。dida `6a7ad5f0` 已补建+completed 对齐（completedTime 2026-08-11 08:13:58 UTC）。**部署链路**：同 P0-3 共享 `bak-p03p04-20260811160814` |
+| **P0-5** | 容器 `app/constants/` 打包错误 🔥 | 🆕 新增 | 🆕 | ✅ 已关闭（描述失真） | **2026-08-11 15:30 复核**：磁盘实测 `src/backend/app/constants/` 结构正确——`__init__.py` (1109B) = package 入口 re-export `from app.constants.automation import *`；`automation.py` (11635B) = 真正常量模块；Glob 确认无遗留单文件 `app/constants.py` / `app/automation.py`。**两者并未互换**，属正常的 package 入口+子模块结构。看板描述可能是早期症状（部署前 build 报错）的过时快照，与现状脱节。**关闭说明**：自动化常量已正确 package 化，2026-08-11 实测确认。dida 无对应任务，无需同步关闭 |
 | **P0-6** | 后端 OAuth 40029 抖动（用户码失效） | ℹ️ 信息类 | 持续 | 🟢 已知噪声 | 218.75.34.87 等外部 IP 持续试探 `/api/auth/validate-sso` + 偶发 OAuth code 失效。属 WAF 扫描背景噪声，已 fail2ban 监控。无需主动处理 |
 | **P0-NEW7** | 看板-部署脱节：nginx `/docs/` 路由缺失 | ✅ 已修复 | 🆕 | ✅ 已修复 | **2026-08-06 11:46 已完成**：① docker-compose.yml 加 `docs-public` 卷挂载 ② nginx.conf 加 `location /docs/ { alias /opt/wecom-it-desk/docs-public/; charset utf-8; add_header Cache-Control "no-cache, must-revalidate"; ... }` ③ `docker compose up -d --force-recreate nginx` + `nginx -t` + `nginx -s reload`。**jumpserver-V2 实测**：容器内 `curl -sI http://127.0.0.1/docs/kanban/项目状态看板.html` → **200**（30765B，Cache-Control no-cache）。外部 URL `https://itsupport.servyou.com.cn/docs/kanban/项目状态看板.html` 实测完整渲染 v1.9.0-FROZEN 内容 ✓ |
 | **P0-NEW8** | host 文件结构 vs git 仓库结构差异 | 🆕 新增 | 🆕 | 🔴 待修复 | **2026-08-06 11:46 P0-NEW7 修复期间发现**：本地 git 仓库结构是 `src/backend/`，主机实际结构是 `app/`（admin:admin, Aug 3），两者不一致。`docker-compose.yml` 中 `backend.context: ./src/backend` + `./src/backend/app:/app/app` 在主机上不存在对应目录，导致 `docker compose up -d --force-recreate backend` 时挂载空目录、容器内 `/app/app` 为空、uvicorn 找不到 `app.main`、启动失败。**临时回退**：docker-compose.yml 改 `context: ./backend` + `- ./app:/app/app` 适配主机，backend 容器已恢复。但长期需要：① 决定 host 是否同步 git 仓库 ② 是否启用 build context 镜像构建 ③ 迁移路径方案评估 |
-| **P0-NEW9** | main.py 调试端点（test-ping/test-error）生产暴露 | 🆕 新增 | 🆕 | 🔴 待修复 | **2026-08-08 06:00 早班巡检发现**：src/backend/app/main.py:963-971 注册的 `/test-ping`、`/test-error` 等诊断端点**未走任何环境分支保护**（注释明确写「生产环境删除」，但 main.py `_is_dev_mode()` 仅作用于 :932 周边）。**v1.9.3 公网实测（2026-08-10 09:00）**：`GET https://itsupport.servyou.com.cn/api/test-ping` 仍返 200 OK 含 `"pong"` — 仍未修复。建议：① 短期 `nginx location /api/test-*` 限制 internal only；② 长期用 `if _is_dev_mode():` 包裹整个诊断区段或移至 `app/api/debug.py` 仅 dev 加载。伴随项：建议同步治理 `/api/openapi.json` 312 端点公开（含 106 admin + 29 auth） |
-| **P0-NEW10** | 后端 debug 端点全清单治理（test-ping/test-error/health/ready/metrics/version/openapi.json） | 🆕 新增 | 🆕 | 🔴 待修复 | **2026-08-10 09:00 早班巡检发现**：P0-NEW9 仅涉及 `/test-ping` + `/test-error` 两个端点，但 `src/backend/app/main.py` 实际注册的诊断端点全集更广——line 978 `@app.get("/health", tags=["系统"])` + 之前遗漏的 `/ready` / `/metrics` / `/version` + `/api/openapi.json`（FastAPI 默认开放，312 端点全公开）。**v1.9.4 公网实测（08-11 09:00）**：`/api/test-ping` 仍 200 pong + `/api/test-error` 仍 200 返"服务器内部错误" + `/api/openapi.json` 仍 200 OK 424122B。建议批量治理：① `app/api/debug.py` 集中所有诊断端点，仅 dev/staging 加载 ② FastAPI 实例化 `docs_url=None, redoc_url=None, openapi_url=None` 在生产关闭 ③ nginx `location ~ ^/api/(test-|debug/|openapi.json)` return 404 外部 |
-| **P0-NEW11** | /api/openapi.json 生产公开 312 端点治理（攻击者字典级暴露） | 🆕 新增 | 🆕 | 🔴 待修复 | **2026-08-11 09:00 早班巡检实测**：`curl -sI https://itsupport.servyou.com.cn/api/openapi.json` → 200 OK 424122B（**完整 API 字典**含 106 admin + 29 auth 端点）。P0-NEW10 文字已覆盖但无独立 task，建议单列以便追踪进度。修复方案：FastAPI 实例化 `openapi_url=None`（生产）+ 同步 `docs_url=None, redoc_url=None`；nginx 层 `location = /api/openapi.json { return 404; }` 兜底 |
+| **P0-NEW9** | main.py 调试端点（test-ping/test-error）生产暴露 | 🆕 新增 | 🆕 | ✅ 已修复 | **2026-08-08 06:00 早班巡检发现**：src/backend/app/main.py:963-971 注册的 `/test-ping`、`/test-error` 等诊断端点**未走任何环境分支保护**（注释明确写「生产环境删除」，但 main.py `_is_dev_mode()` 仅作用于 :932 周边）。**v1.9.3 公网实测（2026-08-10 09:00）**：`GET https://itsupport.servyou.com.cn/api/test-ping` 仍返 200 OK 含 `"pong"` — 仍未修复。建议：① 短期 `nginx location /api/test-*` 限制 internal only；② 长期用 `if _is_dev_mode():` 包裹整个诊断区段或移至 `app/api/debug.py` 仅 dev 加载。伴随项：建议同步治理 `/api/openapi.json` 312 端点公开（含 106 admin + 29 auth）。**2026-08-11 14:00 闭环**：nginx 边缘层 `location ~ ^/api/(test-|debug/) { return 404; }` 已部署预生产并复测 `/api/test-ping`、`/api/test-error` 公网 404；`/api/health`、`/api/ready` 仍 200 无误伤。详见 `docs/06-安全审计/01-审计报告/SEC-P0-NEW9-10-调试端点暴露风险确认与应对方案-2026-08-11.md`。代码层根因（移 debug.py 仅非生产加载）待排期 |
+| **P0-NEW10** | 后端 debug 端点全清单治理（test-ping/test-error/health/ready/metrics/version/openapi.json） | 🆕 新增 | 🆕 | ✅ 已修复 | **2026-08-10 09:00 早班巡检发现**：P0-NEW9 仅涉及 `/test-ping` + `/test-error` 两个端点，但 `src/backend/app/main.py` 实际注册的诊断端点全集更广——line 978 `@app.get("/health", tags=["系统"])` + 之前遗漏的 `/ready` / `/metrics` / `/version` + `/api/openapi.json`（FastAPI 默认开放，312 端点全公开）。**v1.9.4 公网实测（08-11 09:00）**：`/api/test-ping` 仍 200 pong + `/api/test-error` 仍 200 返"服务器内部错误" + `/api/openapi.json` 仍 200 OK 424122B。建议批量治理：① `app/api/debug.py` 集中所有诊断端点，仅 dev/staging 加载 ② FastAPI 实例化 `docs_url=None, redoc_url=None, openapi_url=None` 在生产关闭 ③ nginx `location ~ ^/api/(test-|debug/|openapi.json)` return 404 外部。**2026-08-11 14:00 闭环**：nginx 边缘层对 `/api/test-ping`、`/api/test-error`、`/api/metrics`、`/api/version` 返回 404（公网复测确认）；`/api/health`、`/api/ready` 保留供探针（仍 200）；`/api/openapi.json` 由 P0-NEW11 已闭环。与 P0-NEW11 同源双拦（代码层 app_env 判定 + nginx 兜底）。详见 `docs/06-安全审计/01-审计报告/SEC-P0-NEW9-10-调试端点暴露风险确认与应对方案-2026-08-11.md` |
+| **P0-NEW11** | /api/openapi.json 生产公开 312 端点治理（攻击者字典级暴露） | 🆕 新增 | 🆕 | ✅ 已修复 | **2026-08-11 09:00 早班巡检实测**：`curl -sI https://itsupport.servyou.com.cn/api/openapi.json` → 200 OK 424122B（**完整 API 字典**含 106 admin + 29 auth 端点）。**2026-08-11 已闭环（双拦 + 公网复测证据）**：① 代码层 `create_app()` 按 `settings.app_env=="production"` 关闭 `openapi_url`/`docs_url`/`redoc_url`（运行副本 `/opt/wecom-it-desk/app/main.py` + 构建上下文副本双改，`docker restart wecom_it_backend` 生效）② nginx `location = /api/openapi.json` `/api/docs` `/api/redoc` `/api/docs/oauth2-redirect { return 404; }` 兜底。复测：容器内 `/openapi.json`→404、`/docs`→404、`/redoc`→404；公网 `/api/openapi.json`→404、`/api/docs`→404、`/api/redoc`→404；业务 `/api/health`、`/api/version` 仍 200、误伤验证通过。详见 `deliverables/openapi_exposure_report.md` |
+| **P0-NEW12** | 应用层 debug 端点代码层根因（容器内 /test-ping /test-error /version 仍 200，仅 nginx 边缘层兜底 404） | 🆕 新增 | 🆕 | ✅ 已修复 | **2026-08-12 10:30-10:55 修复完成**（公网 + 容器内 12+6 端点验证全 4xx）：① 新建 `src/backend/app/api/debug.py` 集中 3 个调试端点（`/api/debug/ping`+`/error`+`/version`）② main.py 删除散落 `/test-ping` `/test-error` `/version`，改为 `if _is_dev_mode():` 块内 `include_router(debug_router)`（双重门控：挂载 + 端点内自校验）③ **二次修复 v1.1**：`/test-ping` 等未挂载但容器内 `/api/debug/ping` 仍 200——根因为预生产服 `APP_ENV=production` + `DEV_MODE=true` 配置不一致，原 `_is_dev_mode()` 把 DEV_MODE 优先级置顶；改为 `app_env 优先` 后 production 永远 False。同步修复 main.py + dev_auth.py + conftest.py（enable_dev_mode fixture 设 APP_ENV=development）。④ 11 用例回归测试 10 passed + 1 skipped（psutil 缺包）。**v1 部署 10:48** + **v2 部署 10:55**（jumpserver-V2 PSFTP + docker restart）。**部署后 12 端点公网验证**：3 旧端点 404 + 3 新端点 404 + 3 dev 403（nginx IP 白名单）+ 1 health 200 + 3 P0-NEW11 404。**容器内直测 6 端点 100% 4xx**（用户原话真实风险场景）。详见 `docs/03-测试文档/05-缺陷单/BUG-安全-005-调试端点无门控-001.md` |
 
-**滴答清单跟踪**：9 项 P0 已在滴答清单 `wecom_it_smart_desk` 项目下建任务（标签 `work`）。**v1.9.3 增补**：
-- T11 = `6a7928a2e4b068980437bb15` [P0-NEW10] debug 端点全清单治理（test-ping/test-error/health/ready/metrics/version/openapi.json），due 2026-08-13 17:00
+**滴答清单跟踪**：P0 系列已在滴答清单 `wecom_it_smart_desk` 项目下建任务（标签 `work`）。**v1.9.4 闭环同步（2026-08-11 14:28 复验）**：
+- `6a76a80de4b050c704916c07` [P0-NEW9] /api/test-ping 生产暴露调试端点治理（main.py 未走 env 分支）— dida 已 completed 对齐（completedTime 2026-08-11 06:28 UTC，与看板「✅ 已修复」闭环一致）
+- T11 = `6a7928a2e4b068980437bb15` [P0-NEW10] debug 端点全清单治理（test-ping/test-error/health/ready/metrics/version/openapi.json）— dida 已 completed 对齐（completedTime 2026-08-11 06:28 UTC，与看板「✅ 已修复」闭环一致）
+- `6a7a7ae6e4b068a058339f6e` [P0-NEW11] /api/openapi.json 312 端点治理 — dida 已 completed 对齐（completedTime 2026-08-11 04:24 UTC，与看板闭环一致）
 - `6a6bfc2be` [P1 sensitive_words 13 端点补 auth] 看板已完成 → dida 同步 close（completedTime 2026-08-10 01:25 UTC）
+- `6a72c892e4b08d42854aa7cf` [P0-3] closing_service 时区错位修复（**2026-08-11 16:08 已部署预生产 + dida completed** 对齐，completedTime 2026-08-11 08:13:52 UTC）
+- `6a7ad5f0e4b01cac6d71dfbf` [P0-4] employee_profile ServiceLocal NoneType 修复（**2026-08-11 16:08 已部署预生产 + dida completed** 对齐，completedTime 2026-08-11 08:13:58 UTC）
 
 **P0-1 闭环**：看板 P0-1 `/itportal/` 500 修复闭环 — nginx.conf line 139-142 已显式注释"/itportal/ 静态前端块已移除 (2026-08-03 fix)"，今日公网实测 500→404（rewrite cycle 消失）。迁移至"✅ 最近完成"区。
 
@@ -171,6 +228,12 @@
 
 | 任务ID | 任务名称 | 优先级 | 负责人 | 完成日期 |
 |--------|----------|--------|--------|----------|
+| **BUG-登录-测试账号面板不显示-002** | H5 端"测试账号登录"面板永不显示 + H5 dist 部署路径错配 + dev_auth router prefix 与 nginx proxy_pass 路径冲突（双根因 + 双铁律级落地） | 🔴 P0 | Duckula | **2026-08-11 19:30** | **双根因**：① Login.vue:297 `resp?.data?.data?.dev_mode` 多一层 .data（axios 拦截器已 unwrap）② deploy_h5.py:45 + deploy-h5.sh:26-32 写 `/opt/wecom-it-desk/frontend-h5/dist`（无 src/），但容器 mount 源是 `/opt/wecom-it-desk/src/frontend-h5/dist`（有 src/）→ 部署后线上仍老 hash **附带根因**：dev_auth.py:31 prefix="/dev" + nginx proxy_pass trailing slash 剥前缀冲突。**修复链路**：① Login.vue:297 一行 `resp?.dev_mode` ② pnpm build 3.38s ③ deploy_h5.py v20260811b + 远端 mv 修正路径 + docker restart nginx ④ dev_auth.py prefix 改 /api/dev + docker restart backend ⑤ nginx.conf proxy_pass 去 trailing slash + nginx -t + -s reload（备份 .bak-bug002-20260811）⑥ 远端清理错位置 dist。**真实验证**：公网 `/api/dev/health` → 200 + `{"code":0,"data":{"dev_mode":true,"env":"production",...}}` ✅ + 用户本地 /h5/ 验证 Login 面板正常显示。**4 项铁律级落地**：① deploy_h5.py:45 REMOTE_DIST_DIR 加铁律注释 ② deploy-h5.sh:26-32 cp 路径同步 ③ dev_auth.py:31 prefix=/api/dev ④ nginx.conf:175 proxy_pass=http://backend_api。**Git commit（本地）**：`e9d10c2d98e1ad25d0dbfdd8b052778adb8e50d1` on main。**H5 重新发版**：v20260808→v20260811（08-12 公网实测 /h5/go → v20260811 /，公网版本停滞 3 天解除）。详见 `docs/03-测试文档/05-缺陷单/BUG-登录-测试账号面板不显示-002.md` |
+| **BUG-登录-扫码劫持-001** | DEV_MODE=true 劫持真实扫码登录（坐席端/管理后台）+ nginx `/api/dev/` 白名单遗漏公司出口 IP | 🔴 P0 | Duckula | **2026-08-11** | **核心修复**：`qrcode_service.py:260` `if _dev_mode_enabled():` → `if _dev_mode_enabled() and code.startswith("dev:"):`，仅 dev 约定 code 走模拟，其他一律走企微 API。**附带修复**：`nginx/nginx.conf` `/api/dev/` 白名单新增公司互联网出口 IP（115.227.36.10 / 117.147.35.138 / 218.75.34.87）。**真实验证**：① 真实企微 code → 走 `_fetch_oauth_user`（后端日志 `qrcode_service.py:270`）② `dev:dev-admin-001` → 仍走 DEV 模拟（自动化零回归）③ 用户真实企微账号扫码登录坐席端/管理后台 → **可正常登录 ✅**。**部署**：commit `9e04016b` on main + bind mount 源路径 `/opt/wecom-it-desk/app/services/qrcode_service.py`（非 `src/backend/app`，双目录铁律）+ nginx -t ok / reload + `docker restart wecom_it_backend` 24s healthy。**QA 验证**：`tests/test_qrcode_hijack_fix.py` 11/11 用例通过（TC-04 现场场景已修复）。详见 `docs/03-测试文档/05-缺陷单/BUG-登录-扫码劫持-001.md` |
+| **P0-NEW9** | /api/test-ping 生产暴露调试端点治理（main.py 未走 env 分支） | 🔴 P0 | Duckula | **2026-08-11** | nginx 边缘层 `location ~ ^/api/(test-|debug/) { return 404; }` 已部署预生产并复测 `/api/test-ping`、`/api/test-error` 公网 404；`/api/health`、`/api/ready` 仍 200 无误伤。dida `6a76a80de4b050c704916c07` completed 对齐。详见 `docs/06-安全审计/01-审计报告/SEC-P0-NEW9-10-调试端点暴露风险确认与应对方案-2026-08-11.md`。代码层根因（移 debug.py 仅非生产加载）待排期 |
+| **P0-NEW10** | 后端 debug 端点全清单治理（test-ping/test-error/health/ready/metrics/version/openapi.json） | 🔴 P0 | Duckula | **2026-08-11** | nginx 边缘层对 `/api/test-ping`、`/api/test-error`、`/api/metrics`、`/api/version` 返回 404（公网复测确认）；`/api/health`、`/api/ready` 保留供探针（仍 200）；`/api/openapi.json` 由 P0-NEW11 已闭环。dida `6a7928a2e4b068980437bb15` completed 对齐。详见同审计报告 |
+| **REQ-006** | 预生产测试通道：DEV_MODE + nginx 内网闸门 + 三端测试登录入口 | 🟢 基建 | Duckula | **2026-08-11** | ① 预生产 compose 注入 `DEV_MODE=true`，`/api/dev/*` 三端 mock 登录（login_source=dev）② nginx `location /api/dev/` 内网闸门（allow 10/8,172.16/12,192.168/16 + deny all）——**公网 403 / 内网 200 / 业务未误伤实测通过** ③ 三端 Login.vue 测试账号登录面板（探测 `/api/dev/health` 决定可见性）④ H5 版本化 v20260808→v20260811（两 go 302 重指）。**已部署预生产并验证全绿**，commit `c1d5dd5` 推送 ds923plus main。文档链：PRD/技术方案/任务说明书/TC/DEPLOY（REQ-通用-006）。自动化测试入口：`GET /api/dev/login?userid=dev-agent-001&role=agent`（仅内网） |
+| **PR #6** | task-actions-pivot：坐席端 TaskDetailView 操作区主操作+⋯ 收纳 | 🟡 功能 | Duckula | **2026-08-11** | Gitea PR #6 合并入 main（`9fcee9df`），对应 `f1b12b7`（PRD-REQ-坐席-011 §6.4 决策 C-8）。**已合并未部署** |
 | **P0-1** | `/itportal/` 入口 500 错误（nginx rewrite cycle） | 🔴 P0 | Duckula | **2026-08-03** | **v1.9.3 闭环确认**：① nginx.conf line 139-142 明确注释 "/itportal/ 静态前端块已移除 (2026-08-03 fix) ... 现在没有 portal 前端, /itportal/ 直接返回 nginx 404（最长前缀 /itportal/meetingroom/ 仍工作）" ② 看板 v1.9.2 标"待部署"是 08-06 旧观察（当时 /itportal/ 仍 500），实际 08-03 nginx 配置清理已生效 ③ 2026-08-10 09:00 公网实测 `curl /itportal/` → **HTTP 404**（rewrite cycle 不再发生）。**bug 已修复**，P0-1 状态从"待部署" → "✅ 已完成"。仅 /itportal/meetingroom/ 保留作为会议室 API 代理路径 |
 | #104 | 运行期结构化日志查看页（筛选 + 下载命中行） | 🔴 P0 | Duckula | 2026-08-07 | **2026-08-07 11:5x jumpserver-V2 生产实测结案**：① 管理页 `curl -sI 127.0.0.1/itadmin/` → **200 OK** ② 前端 chunk `assets/RuntimeLogs-CTlWR3Am.js` + `.css` 已部署，grep 命中「下载命中行」「时间范围」「runtime-logs」各 1 处（证伪旧 build 残留）③ 后端 `/app/app/api/runtime_logs.py` 存在、`router.py` 挂载 2 处，`curl /api/admin/runtime-logs` 返回 `{"code":4004,...IP 不在允许范围内}`（端点已挂载，被 #48 IP 白名单中间件按预期拦截容器内直连，非故障）④ 日志源 `/app/logs/wecom-it-desk.log` 4.5MB + 5 轮转备份，JSON 结构化持续写入。决策4（`?download=true` query 参数，PRD-REQ-集成-002 §5.1）源码与部署一致 |
 | - | [P0→P3] 复核 /h5/ HTTP 404（看板 v1.9.1 P0-1 已闭环） | 🔴 P0 | Duckula | 2026-08-08 | dida `6a6bfc29e4b0fe2f02dc19b9` 自动 close，completedTime 2026-08-08 03:52 UTC。H5 实际路由 = `/itdesk/`（200 OK），`/h5/` 历史遗留路径无需修复 |
@@ -233,16 +296,16 @@
 
 ## 📈 任务统计
 
-- **总任务数**: 110（v1.9.4 = v1.9.3 109 + P0-NEW11 /api/openapi.json 独立 task）
-- **已完成**: 98（持平）
-- **🔴 P0 必做**: 7（P0-3 / 4 / 5 / 6 / NEW8 / NEW9 / NEW10 / **NEW11**；NEW7 已修复；P0-1 已闭环）
+- **总任务数**: 115（v1.9.5 114 + P0-NEW12 应用层 debug 端点代码层根因 1 项）
+- **已完成**: 103（+1：BUG-登录-扫码劫持-001 DEV_MODE 修复 + nginx 白名单；P0-NEW9 / P0-NEW10 / P0-NEW11 / P0-3 / P0-4 已闭环已部署；BUG-002 已闭环入"已完成"区）
+- **🔴 P0 必做**: 2（**P0-NEW8** host vs git 仓库结构差异 + **P0-NEW12** 应用层 debug 端点代码层根因；P0-6 已知噪声；NEW7 / NEW9 / NEW10 / NEW11 / P0-3 / P0-4 / BUG-002 已闭环已部署；P0-5 描述失真已关闭；P0-1 已闭环）
 - **🟡 P1 重要**: 6（P1-1.1 / 治理-1 / 治理-2 / 治理-3 / P1-Alembic / P1-Idx；P1-治理-sens 是 dida close 同步不入待办列）
-- **🟢 等用户决策**: 2（BLK-A/B，**均超 31 天阈值**）
+- **🟢 等用户决策**: 2（BLK-A/B，**均超 32 天阈值**，08-12 自 07-11 已 32 天）
 - **🟠 进行中**: 1（#81 v1.2 待排期）
 - **🟡 待开始**: 0
 - **⏸️ 暂停**: 5（安全策略检查平台）
-- **⚠️ 风险项**: 2（风险-1 Nginx /h5/ alias+try_files 潜伏 500 隐患 dida `6a752de4` + 风险-2 公网版本停滞 3 天 `/h5/go` 仍 v20260808）
-- **dida365 同步状态**: 2026-08-10 01:25 UTC 同步 close 1 项（sensitive_words `6a6bfc2be`）；2026-08-08 03:52 UTC 同步 close 3 项 + create 3 项。**双向同步铁律**：看板→dida 与 dida→看板 均纳入巡检必做项
+- **⚠️ 风险项**: 1（风险-1 Nginx /h5/ alias+try_files 潜伏 500 隐患 dida `6a752de4`；**风险-2 公网版本停滞 3 天已解除** 08-12 公网实测 /h5/go → v20260811）
+- **dida365 同步状态**: 2026-08-10 01:25 UTC 同步 close 1 项（sensitive_words `6a6bfc2be`）；2026-08-08 03:52 UTC 同步 close 3 项 + create 3 项；**2026-08-11 同步**：P0-NEW9/NEW10/NEW11 全部 completed + BUG-002 待补建 dida 任务并 complete（**08-12 早班同步触发 P0-NEW12 create**）；**16:45 同步：BUG-登录-扫码劫持-001 待补建 dida 任务并 complete**。**双向同步铁律**：看板→dida 与 dida→看板 均纳入巡检必做项
 
 ---
 
@@ -257,18 +320,29 @@
 
 ## 📝 看板版本变更记录
 
-| 版本 | 日期 | 变更内容 | 变更人 |
-|------|------|----------|--------|
-| **v1.9.4-DRAFT** | 2026-08-11 | 🆕 早班巡检触发的治理小版本（**5 项关键发现**）：① **🔴 公网版本停滞 3 天**（NEW）：jumpserver-V2 + 公网 `curl` 实测 `/h5/go` 仍 `302 → /h5/v20260808/`（08-08 09:30 last deploy，3 天无新发版）；/itservice/go 同样 ② **🔴 P0-NEW9/NEW10 仍 200 暴露**：容器内 `curl /health` 200 + 公网 `/api/test-ping` 200 含 pong + `/api/test-error` 200 + `/api/openapi.json` 200 OK 424122B（312 端点全公开） ③ **🔴 风险 /h5/ 今日到期**：dida `6a752de4` due 2026-08-11 16:00，今晚不修即逾期 ④ **🔴 P0-3 closing_service 时区错位 5 → 8 天**：dida `6a72c892` 仍 status=0，due 08-06 已逾期 5 天 ⑤ **🟡 BLK-A/B 30 → 31 天阈值校正**（2026-07-11 → 2026-08-11）。**新增**：P0-NEW11（/api/openapi.json 独立 task，从 P0-NEW10 拆分）+ 风险-2（公网版本停滞）。看板：🔴 P0 6→7 / 🟡 P1 6（持平）/ 🟢 等决策 31 天阈值（30→31）/ ⚠️ 风险项 1→2 / 总任务 109→110。**v1.9.3-DRAFT 1 天未冻结**（08-10 09:00 → 08-11 09:00），本次合并入 v1.9.4 待审 | Duckula (AI) |
-| **v1.9.3-DRAFT** | 2026-08-10 | 🆕 早班巡检触发的治理小版本（**4 项关键发现**）：① **P0-1 /itportal/ 500 修复闭环**：nginx.conf line 139-142 已 08-03 部署生效，今日公网实测 500→404（rewrite cycle 消失），P0-1 从"待部署"迁入"已完成"区（2026-08-03 完成日） ② **dida365 双向校验发现 4 处反向脱节**：dida `6a6bfc2be` sensitive_words 13 端点补 auth 看板已完成但 dida 仍 status=0（本次同步 close）+ dida `6a705109` Alembic 053-057 迁移脱节 / dida `6a70510f` troubleshooting_templates 索引 / dida `6a752de4` Nginx /h5/ alias+try_files 潜伏500 看板缺失（补登） ③ **console 残留 128 → 129**（h5 不变 / agent 17→20 新增 3 处 / terminal 7→8 新增 1 处） ④ **BLK-A/B 26 → 30 天阈值校正**（2026-07-11 → 2026-08-10）。新增 P0-NEW10（debug 端点全清单治理）+ P1 治理-2/3（看板-滴答双向同步铁律升级）。看板：🔴 P0 6（持平，P0-1 闭环 + P0-NEW10）/ 🟡 P1 2→5（Alembic/Idx/治理-2/治理-3 补登）/ ✅ 已完成 97→98 / ⚠️ 风险项 0→1 | Duckula (AI) |
-| v1.9.2-DRAFT | 2026-08-08 | 🆕 早班巡检触发的治理小版本：**dida365 自动同步 6 项**（close 3 / create 3）——close `6a6bfc29` [P0→P3] /h5/ 404、close `6a72c88d` [P0-2] sensitive_words 13 端点、close `6a72c897` [P1-1] console 208 行（但发现仍残留 128 行，二次治理由 P1-1.1 承担）；create `6a76a80d` [P0-NEW9] /api/test-ping 生产暴露、create `6a76a802` [P1-1.1] console 二次清理、create `6a76a809` [P1 治理-看板-滴答双源同步]。看板：🔴 P0 5→6 / 🟡 P1 0→2 / ✅ 已完成 94→97（基础计数 v1.9.1 100 + P0-NEW9 + P1-1.1 + P1 治理-1 = 104）。同步时间戳：2026-08-08 03:52 UTC | Duckula (AI) |
-| v1.9.1 补录2 | 2026-08-07 | ✅ 【P0】#104 运行期结构化日志查看页 **结案**：jumpserver-V2 生产实测四项证据齐备（管理页 200 / 前端 chunk 含筛选+下载命中行 / 后端端点已挂载（4004 = #48 IP 白名单预期门禁，非故障）/ 日志源 JSON 持续写入）。从「待开始」区迁入「最近完成」区；待开始 0 项；已完成 93→94。滴答清单同步完成 | Duckula (AI) |
-| v1.9.1 补录 | 2026-08-07 | ✅ P1【补齐 Nginx 生产安全响应头】已修复并关闭：生产 nginx.conf 注入 7 安全头（server 级 + 各含 add_header 的 location 内，均带 always），nginx -t 通过 + docker restart wecom_it_nginx，origin 与公网(WAF)双验证通过。补录至最近完成区；已完成 92→93 | Duckula (AI) |
-| **v1.9.1-FROZEN** | 2026-08-06 11:50 | ✅ 冻结：P0-NEW7（看板-部署脱节）已修复。nginx `/docs/` 路由上线 + docker-compose.yml docs-public 挂载生效；外部 URL 实测 200。修复期间发现并新增 P0-NEW8（host 文件结构 vs git 仓库结构差异）。归档副本 `项目状态看板-v1.9.1-FROZEN.html` | Duckula (AI) |
-| **v1.9.0-FROZEN** | 2026-08-06 11:36 | ✅ 冻结：v1.9-DRAFT 内容经 PM 审核通过正式生效；归档副本 `项目状态看板-v1.9.0-FROZEN.html`；**修正 v1.8.0 起"对外发布"声明与现实脱节**（nginx `/docs/` 路由从未生效，已添加 P0-NEW7 看板-部署脱节）；HTML 文件已上传至 jumpserver `/opt/wecom-it-desk/docs-public/kanban/` + `/inspection/2026-08/`，但 nginx 服务不可达（详见 P0-NEW7） | Simon（审核）|
-| v1.9.0-DRAFT | 2026-08-06 | 🆕 草稿：① P0 必做 4→5（P0-2 修复迁移至已完成 + P0-5 打包错误 + P0-6 OAuth 信息类 + P0-4 行号描述修正）② P1 重要 1→0（P1-1 清理迁移至已完成）③ 已完成 88→91 ④ 等用户决策 25→26 天阈值 ⑤ 总任务数 96→99 ⑥ 看板顶部版本号自动切换为 draft badge ⑦ 看板与现实脱节条目得到修正 | Duckula (AI) |
-| **v1.8.0-FROZEN** | 2026-08-05 19:37 | ✅ 冻结：v1.8-DRAFT 内容经 PM 审核通过正式生效；归档副本 `项目状态看板-v1.8.0-FROZEN.html`；**⚠️ 服务发布声明脱节**（声称发布至 `https://itsupport.servyou.com.cn/docs/kanban/` + `/docs/inspection/` 实际 404——nginx 无 `/docs/` 路由，v1.9 已修正声明并新增 P0-NEW7 治理） | Simon（审核）|
-| v1.8-DRAFT | 2026-08-05 | 🆕 草稿：新增 🔴 P0 必做分区（4 项）/ 🟡 P1 重要分区（1 项）/ 🟢 等用户决策分区（2 项，25 天阈值）；总任务数 92→96；引入 4 维分类（新增/历史遗留/信息/建议）；附 HTML 巡检报告归档路径 | Duckula (AI) |
-| v1.7 | 2026-08-03 | #81 状态反转：v1.1 阶段1 已完成（07-28）→ 进行中；新增今日完成项 troubleshooting_templates 5 端点 + /itportal 500 修复；统计 92/87/1/1/5/2 | Duckula (AI) |
-| v1.5 | 2026-07-30 | 追加 BUG-用户-003 修复完成项（H5 结束会话失败回归）；总任务数 90→91；已完成 84→85；关联 TC-用户-008；待开始不变 | Duckula (AI) |
-| v1.4 | 2026-07-24 | 批量完成项入库（批次 1-4 重构 / D1 合并 / 文档重组 / #124 坐席接单按钮 / #125 H5 选项消息） | Simon |
\ No newline at end of file
+> 模板依据：规范 §4.2 / §8.3 变更记录表（含「变更原因」「影响范围」）
+
+| 版本 | 日期 | 变更内容 | 变更人 | 变更原因 | 影响范围 |
+|------|------|----------|--------|----------|----------|
+| **v1.9.6-DRAFT** | 2026-08-12 | 早班巡检 4 项关键发现（公网版本停滞解除 / P0-NEW12 应用层 debug 端点代码层根因 / 容器全绿 / dida 双向校验） | Duckula (AI) | 2026-08-12 09:00 早班巡检：jumpserver-V2 + 公网 curl + 容器内 `python urllib` 三重实测 | 🔴 P0 1→2；✅ 已完成 101→102；⚠️ 风险 2→1；总任务 114→115；新增 P0-NEW12 |
+| **v1.9.5-DRAFT 增补（晚间 19:30）** | 2026-08-11 | BUG-登录-测试账号面板不显示-002 闭环（双根因 + 双铁律级落地：Login.vue 一行 + deploy 路径铁律 + dev_auth prefix + nginx proxy_pass）+ 公网 `/api/dev/health` 真实 dev_mode 响应验证 | Duckula (AI) | 18:17 用户反馈"用户端老版本"→18:50 双层定位（前端 BUG + 部署路径错配）→19:06 pnpm build + deploy 落空 + 远端 mv 修正 →19:24 dev_auth + nginx 协同修复 + 公网 curl 验证 `{code:0, data:{dev_mode:true,...}}` →19:30 Git commit `e9d10c2d` 本地 + 看板 v1.9.5 增补 | 🆕 新增 BUG-002 缺陷单 + 4 项铁律级落地；总任务 113→114 |
+| **v1.9.4-DRAFT 增补（午后 7）** | 2026-08-11 | BUG-登录-扫码劫持-001 闭环（DEV_MODE 修复 + nginx `/api/dev/` 白名单）+ Git commit `9e04016b` on main + 预生产部署 | Duckula (AI) | 16:24 用户复核方案 2 治本→16:35 团队协作（工程师寇豆码 IS_PASS:YES + QA严过关 11/11 PASS）→16:38 主理人部署（bind mount 源路径 `/opt/wecom-it-desk/app/services/qrcode_service.py` + nginx reload + 后端容器重启 24s healthy）→16:45 用户真实企微账号登录坐席端/管理后台通过验证 | 🔴 P0 仍 1（仅余 NEW8）；✅ 已完成 102→103；总任务 112→113；新增 BUG-登录-扫码劫持-001.md + tests/test_qrcode_hijack_fix.py |
+| **v1.9.4-DRAFT 增补（午后 6）** | 2026-08-11 | P0-3 / P0-4 预生产部署闭环（jumpserver-V2）+ dida 双 complete + kanban HTML 公网发布 | Duckula (AI) | 16:08 jumpserver-V2 status=201 缓存有效→upload 3 文件→备份 .bak-p03p04-20260811160814→cp 覆盖→docker restart wecom_it_backend→Up 18s healthy；端到端验证 ClosingService.reopen_conversation 报预期 AppException(1007) 而非 TypeError；get_employee_profile_service() 实例化成功。dida P0-3 `6a72c892` + P0-4 `6a7ad5f0` 均 completed（08:13:52/58 UTC）。HTML 58187B 公网 200 OK | 🔴 P0 仍 1（仅余 NEW8）；dida 闭环 |
+| **v1.9.4-DRAFT 增补（午后 5）** | 2026-08-11 | P0-3 / P0-4 本地修复 + P0-5 描述失真已关闭（disk 实测结构正确） | Duckula (AI) | 15:26 用户复核→15:30 三项同时落地：① closing_service.py:467 加 `timezone.utc`（2 行）② main.py lifespan 强制 get_session_local() + employee_profile_service.py:236 改 `get_session_local()()`（双拦 1+1 行）③ P0-5 描述与磁盘不符，Glob 确认 `app/constants/__init__.py` (1109B re-export) + `app/constants/automation.py` (11635B 真模块) 正确 | 🔴 P0 4→1；待部署清单：P0-3/P0-4 本地已修+未部署；dida P0-3 待部署后 close + P0-4 需补建任务 |
+| **v1.9.4-DRAFT 增补（午后 4）** | 2026-08-11 | P0-NEW9/NEW10 调试端点闭环（nginx 边缘层 404）+ f2fd4fa WIP 已推 Gitea feat 分支 | Duckula (AI) | 13:58 nginx 边缘层治理复测通过；14:1x 波动网络推送成功（本地 CONNECT 代理 + 6 块拆分） | 🔴 P0 6→4；✅ 已完成 100→102；feat/task-actions-pivot-v1.8=f2fd4fa 远端落盘 |
+| **v1.9.4-DRAFT 增补（午后 3）** | 2026-08-11 | P0-NEW11 闭环：应用层关 `openapi_url`/`docs_url`/`redoc_url` + nginx 4 条 `return 404` 双拦，公网复测三者均 404 | Duckula (AI) | 早班巡检确认公网 `/api/openapi.json` 312 端点暴露，修复后复测通过 | 🔴 P0 7→6；✅ 已完成 99→100；滴答 NEW11 completed |
+| **v1.9.4-DRAFT 增补（午后）** | 2026-08-11 | PR #6 合并入 main（task-actions-pivot / 坐席端 TaskDetailView 操作区收纳） | Duckula (AI) | Gitea PR #6 经评审合并（绕过单用户审批门禁 405） | ✅ 已完成 98→99；总任务 110→111；仍 v20260808（未部署） |
+| **v1.9.4-DRAFT 增补（午后 2）** | 2026-08-11 | REQ-通用-006 预生产测试通道上线（DEV_MODE + nginx 内网闸门 + 三端测试登录） | Duckula (AI) | 三端企微 OAuth 无法自动化测试痛点闭环 | ✅ 已完成 99→100；总任务 111→112 |
+| **v1.9.4-DRAFT** | 2026-08-11 | 早班巡检 5 项关键发现（版本停滞 / NEW9-10 暴露 / 风险 /h5/ / P0-3 / BLK 阈值） | Duckula (AI) | 2026-08-11 09:00 早班巡检实测 | 🔴 P0 6→7；⚠️ 风险项 1→2；总任务 109→110；新增 P0-NEW11 + 风险-2 |
+| **v1.9.3-DRAFT** | 2026-08-10 | 早班巡检 4 项发现（P0-1 闭环 / dida 反向脱节 / console 129 / BLK 阈值） | Duckula (AI) | 2026-08-10 09:00 早班巡检 | 🔴 P0 6；🟡 P1 2→5；✅ 已完成 97→98；⚠️ 风险项 0→1 |
+| v1.9.2-DRAFT | 2026-08-08 | dida365 自动同步 6 项（close 3 / create 3）+ 新增 P0-NEW9 | Duckula (AI) | 2026-08-08 03:52 UTC dida 同步 | 🔴 P0 5→6；🟡 P1 0→2；✅ 已完成 94→97 |
+| v1.9.1 补录2 | 2026-08-07 | #104 运行期结构化日志查看页结案 | Duckula (AI) | 2026-08-07 jumpserver 生产实测结案 | 待开始 0；已完成 93→94 |
+| v1.9.1 补录 | 2026-08-07 | P1 补齐 Nginx 生产安全响应头（7 头） | Duckula (AI) | 2026-08-07 安全巡检修复 | 已完成 92→93 |
+| **v1.9.1-FROZEN** | 2026-08-06 | 冻结（P0-NEW7 看板-部署脱节已修复） | Simon（审核） | PM 审核通过 | 归档 `项目状态看板-v1.9.1-FROZEN.html` |
+| **v1.9.0-FROZEN** | 2026-08-06 | 冻结 v1.9-DRAFT（修正服务发布声明脱节） | Simon（审核） | PM 审核通过 | 归档 v1.9.0-FROZEN；新增 P0-NEW8 |
+| v1.9.0-DRAFT | 2026-08-06 | 草稿（P0 必做 / P1 重要 / 等决策分区重构 + 计数） | Duckula (AI) | 看板结构升级 | 总任务数 96→99 |
+| **v1.8.0-FROZEN** | 2026-08-05 | 冻结 v1.8-DRAFT | Simon（审核） | PM 审核通过 | 归档 v1.8.0-FROZEN（声明脱节待 P0-NEW7 修正） |
+| v1.8-DRAFT | 2026-08-05 | 草稿（新增 3 分区 + 4 维分类） | Duckula (AI) | 看板分区重构 | 总任务数 92→96 |
+| v1.7 | 2026-08-03 | #81 状态反转 + 今日完成项入库 | Duckula (AI) | 阶段状态更新 | 统计 92/87/1/1/5/2 |
+| v1.5 | 2026-07-30 | BUG-用户-003 修复完成 | Duckula (AI) | 2026-07-30 修复 | 总任务 90→91；已完成 84→85 |
+| v1.4 | 2026-07-24 | 批量完成项入库（批次1-4 / D1 / 文档重组 / #124 / #125） | Simon | 2026-07-24 收编 | 多任务迁入完成区 |
\ No newline at end of file
diff --git a/src/backend/app/api/debug.py b/src/backend/app/api/debug.py
new file mode 100644
index 0000000..727d6c7
--- /dev/null
+++ b/src/backend/app/api/debug.py
@@ -0,0 +1,124 @@
+# =============================================================================
+# 企微IT智能服务台 — 调试 / 诊断端点（仅 DEV 模式加载）
+# =============================================================================
+# ⚠️ 警告:此模块只在 DEV_MODE=true 时被挂载
+#   - 仅供本地开发 / 集成测试使用
+#   - 生产环境(DEV_MODE 未设置或 false)端点根本不挂载 + 即使挂载,
+#     端点内部也有 _is_dev_mode() 二次校验,直接 403
+#   - 部署前必须确认 .env / .env.production 没有 DEV_MODE=true
+#
+# 历史背景(P0-NEW12):
+#   原 /test-ping /test-error /version 三个端点散落在 main.py 中,
+#   无任何 dev 门控,容器间网络可达 backend:8000 时攻击者可直接调
+#   用。Nginx 兜底 404 仅靠路径规则,WAF 缓存忽略 query 改动就有
+#   失效风险。本模块集中所有诊断端点,加双重门控:
+#     ① 模块级:仅在 _is_dev_mode() 时由 main.py include_router
+#     ② 端点级:每个端点内部再 _is_dev_mode() 二次校验(防中间件
+#         失败/挂载顺序错乱等异常路径)
+# =============================================================================
+
+import logging
+import os
+import subprocess
+from pathlib import Path
+
+from fastapi import APIRouter, HTTPException
+
+from app.utils.response import success_response
+
+logger = logging.getLogger(__name__)
+
+# --------------------------------------------------------------------------
+# 路由:prefix="/api/debug" 跟 dev_auth.py 的 prefix="/api/dev" 保持一致风格
+# --------------------------------------------------------------------------
+router = APIRouter(prefix="/api/debug", tags=["debug"])
+
+
+# --------------------------------------------------------------------------
+# DEV 模式判定(与 main.py._is_dev_mode() / dev_auth.py._dev_mode_enabled()
+# 保持完全一致,避免三处定义漂移)
+# --------------------------------------------------------------------------
+def _is_dev_mode() -> bool:
+    """检查是否启用了开发模式(DEV_MODE=true)。
+
+    两个检查源(任一为 true 即启用):
+    1. 环境变量 DEV_MODE=true(Docker 注入最高优先级)
+    2. settings.dev_mode(从 .env / .env.dev 读)
+
+    注意:此函数与 main.py:48 的 _is_dev_mode() 逻辑完全一致,
+    这里用纯 import 而非再写一份,确保单一真源。
+    """
+    from app.config import settings
+    from app.main import _is_dev_mode as _main_is_dev_mode
+
+    # 委托给 main.py 单一真源(避免在多处重复定义导致漂移)
+    return _main_is_dev_mode()
+
+
+# --------------------------------------------------------------------------
+# GET /api/debug/ping — 极简存活探测
+# --------------------------------------------------------------------------
+@router.get("/ping")
+async def debug_ping():
+    """极简存活探测 — 不依赖数据库和 Redis,用于后端连通性自检。
+
+    ⚠️ 仅 DEV 模式可用(模块级 + 端点级双重门控)
+    """
+    if not _is_dev_mode():
+        logger.warning("🚨 /api/debug/ping 被调用但 DEV_MODE 未启用,返回 403")
+        raise HTTPException(
+            status_code=403,
+            detail="Debug endpoints are only available in DEV mode. "
+                   "Set DEV_MODE=true to use this endpoint.",
+        )
+    return success_response(data={"message": "pong"})
+
+
+# --------------------------------------------------------------------------
+# GET /api/debug/error — 测试异常处理路径
+# --------------------------------------------------------------------------
+@router.get("/error")
+async def debug_error():
+    """故意抛出未预期异常,用于测试全局兜底异常处理器。
+
+    ⚠️ 仅 DEV 模式可用(模块级 + 端点级双重门控)
+    """
+    if not _is_dev_mode():
+        raise HTTPException(status_code=403, detail="Debug endpoints are only available in DEV mode.")
+    raise Exception("这是故意抛出的测试异常")
+
+
+# --------------------------------------------------------------------------
+# GET /api/debug/version — 完整版本信息(含 git build hash)
+# --------------------------------------------------------------------------
+@router.get("/version")
+async def debug_version():
+    """返回服务的完整版本信息(含 git build hash)。
+
+    风险:git hash 暴露 → 攻击者锁定已知漏洞。
+    修复:P0-NEW12 起本端点仅 DEV 模式可见。
+    生产环境如需版本号做缓存控制,前端用打包时的静态版本号(import.meta.env.VITE_APP_VERSION)。
+
+    ⚠️ 仅 DEV 模式可用(模块级 + 端点级双重门控)
+    """
+    if not _is_dev_mode():
+        raise HTTPException(status_code=403, detail="Debug endpoints are only available in DEV mode.")
+
+    # 项目根 = app/main.py 的上两级(容器内为 /app)
+    app_root = Path(__file__).resolve().parents[2]
+    try:
+        git_hash = subprocess.check_output(
+            ["git", "rev-parse", "HEAD"],
+            cwd=app_root,
+            text=True,
+        ).strip()[:8]
+    except Exception:
+        git_hash = "unknown"
+
+    return {
+        "service": "wecom-it-smart-desk",
+        "version": "1.1.0",
+        "build": git_hash,
+        "app_env": os.getenv("APP_ENV", "unknown"),
+        "dev_mode": True,
+    }
diff --git a/src/backend/app/api/dev_auth.py b/src/backend/app/api/dev_auth.py
index 8f0e140..f8463f1 100644
--- a/src/backend/app/api/dev_auth.py
+++ b/src/backend/app/api/dev_auth.py
@@ -28,17 +28,27 @@ from app.utils.response import success_response
 
 logger = logging.getLogger(__name__)
 
-router = APIRouter(prefix="/dev", tags=["dev-mock"])
+router = APIRouter(prefix="/api/dev", tags=["dev-mock"])
 
 
 def _dev_mode_enabled() -> bool:
     """检查是否启用了开发模式。
 
-    三个检查源(任一为 true 即启用):
-    1. 环境变量 DEV_MODE=true
-    2. settings.dev_mode(从 .env.dev 读)
-    3. DEBUG 模式 + 本地主机(最严格)
+    优先级 (P0-NEW12 修复后,2026-08-12,与 main.py:_is_dev_mode 保持一致):
+      1. app_env 优先: production 永远 = 非 dev (即使 DEV_MODE=true 也无效)
+         背景: 预生产服历史配置 APP_ENV=production + DEV_MODE=true 不一致,
+         导致容器间网络可达 backend:8000 时仍能拿到 /api/dev/* 端点。
+      2. 非 production 环境(development / staging)下:
+         - DEV_MODE=true 环境变量 → 启用
+         - settings.dev_mode 字段  → 启用
+      3. 其余 → 非 dev
     """
+    # 优先级 1: app_env 决定总体框架(production 永远不是 dev)
+    app_env = getattr(settings, "app_env", "production").lower()
+    if app_env == "production":
+        return False
+
+    # 优先级 2: 非生产环境才看显式开关
     env_val = os.getenv("DEV_MODE", "false").lower() == "true"
     if env_val:
         return True
diff --git a/src/backend/app/main.py b/src/backend/app/main.py
index 1d3d2c0..c3c6a24 100644
--- a/src/backend/app/main.py
+++ b/src/backend/app/main.py
@@ -27,7 +27,7 @@ from app.api.router import api_router
 # 导入共享服务生命周期管理
 from app.dependencies import init_shared_services, cleanup_shared_services
 # 导入异常处理器和异常类
-from app.utils.response import AppException, app_exception_handler, success_response
+from app.utils.response import AppException, app_exception_handler
 # 导入日志配置（运行期日志文件接线：standard SOP 第三阶段 · 运行期日志 D 页依赖）
 from app.utils.logging_config import setup_logging
 # 导入定时任务
@@ -46,18 +46,28 @@ logger = logging.getLogger(__name__)
 # 开发模式判定(模块级 helper,避免在 create_app 内每次重复 import)
 # --------------------------------------------------------------------------
 def _is_dev_mode() -> bool:
-    """检查是否启用了开发模式(DEV_MODE=true)。
+    """检查是否启用了开发模式。
 
-    三个检查源(任一为 true 即启用):
-    1. 环境变量 DEV_MODE=true(最高优先级,Docker 注入)
-    2. settings.dev_mode(从 .env.dev 读)
-    3. DEBUG 模式 + 本地主机(最严格)
+    优先级 (P0-NEW12 修复后,2026-08-12):
+      1. app_env 优先: production 永远 = 非 dev (即使 DEV_MODE=true 也无效)
+         背景: 预生产服历史配置 APP_ENV=production + DEV_MODE=true 不一致,
+         导致容器间网络可达 backend:8000 时仍能拿到 3 个调试端点(P0-NEW12 复测发现)
+      2. 非 production 环境(development / staging)下:
+         - DEV_MODE=true 环境变量 → 启用
+         - settings.dev_mode 字段  → 启用
+      3. 其余 → 非 dev
 
     注意:此函数与 backend/app/api/dev_auth.py 内的 _dev_mode_enabled() 逻辑一致,
     这里用于"是否挂载 dev_auth 路由",那里用于"端点内是否放行"。
     """
     import os
 
+    # 优先级 1: app_env 决定总体框架(production 永远不是 dev)
+    app_env = getattr(settings, "app_env", "production").lower()
+    if app_env == "production":
+        return False
+
+    # 优先级 2: 非生产环境才看显式开关
     env_val = os.getenv("DEV_MODE", "").lower() == "true"
     if env_val:
         return True
@@ -98,6 +108,11 @@ async def lifespan(app: FastAPI):
     # 这些实例在应用运行期间复用，避免每次请求重新创建导致资源泄漏
     await init_shared_services()
 
+    # P0-4 修复：强制初始化同步 SessionLocal（防模块顶层调用 NoneType）
+    # 原因：app.models.base.SessionLocal 是 Optional[sessionmaker]=None，
+    #       get_session_local() 是懒初始化——从未触发时 SessionLocal 仍是 None
+    from app.models.base import get_session_local; get_session_local()
+
     # 自动建表（开发阶段，生产环境应用 Alembic 迁移）
     await _auto_create_tables()
 
@@ -779,11 +794,18 @@ def create_app() -> FastAPI:
     """
     # 创建 FastAPI 实例
     # lifespan: 应用生命周期管理（启动/关闭事件）
+    # P0-NEW11 安全加固：生产环境关闭自动生成的 API 文档端点
+    # （/openapi.json、/docs、/redoc），避免公网字典级暴露。
+    # 闸门与 AdminIPWhitelistMiddleware 保持一致：仅 app_env != "production" 时开放。
+    _is_production = settings.app_env == "production"
     app = FastAPI(
         title="智能IT服务平台",
         description="基于企微自建应用消息API的IT服务坐席系统",
         version="1.0.0",
         lifespan=lifespan,
+        openapi_url=None if _is_production else "/openapi.json",
+        docs_url=None if _is_production else "/docs",
+        redoc_url=None if _is_production else "/redoc",
     )
 
     # ----------------------------------------------------------------------
@@ -932,14 +954,21 @@ def create_app() -> FastAPI:
     if _is_dev_mode():
         from app.api.dev_auth import router as dev_auth_router
         app.include_router(dev_auth_router)
+        # P0-NEW12: 诊断端点集中挂载(原散落在 main.py 中的 /test-ping
+        # /test-error /version 已迁移到 app/api/debug.py)
+        from app.api.debug import router as debug_router
+        app.include_router(debug_router)
         logger.warning(
             "🧪 ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━\n"
             "🧪  DEV_MODE 已启用 - Mock OAuth 端点已挂载\n"
             "🧪  仅供本地开发测试使用，生产环境必须关闭！\n"
             "🧪  端点列表：\n"
-            "🧪    GET /api/dev/login   - Mock 登录\n"
-            "🧪    GET /api/dev/users   - 列出预设用户\n"
-            "🧪    GET /api/dev/health  - dev 模式状态\n"
+            "🧪    GET /api/dev/login        - Mock 登录\n"
+            "🧪    GET /api/dev/users        - 列出预设用户\n"
+            "🧪    GET /api/dev/health       - dev 模式状态\n"
+            "🧪    GET /api/debug/ping       - 简单存活探测 [P0-NEW12]\n"
+            "🧪    GET /api/debug/error      - 异常处理测试 [P0-NEW12]\n"
+            "🧪    GET /api/debug/version    - 完整版本(含 git hash) [P0-NEW12]\n"
             "🧪 ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━"
         )
 
@@ -958,17 +987,12 @@ def create_app() -> FastAPI:
     app.include_router(automation_ws_router)
 
     # ----------------------------------------------------------------------
-    # 诊断端点（调试用，生产环境删除）
+    # 诊断端点(原 /test-ping /test-error /version 三个端点已迁移到
+    # app/api/debug.py 集中管理,仅 DEV_MODE=true 时挂载。
+    # 背景: P0-NEW12 容器间网络可达 backend:8000 时攻击者可直接
+    # 调用,Nginx 兜底 404 失效即有暴露面。
+    # 修复: ① 模块集中 ② 双重门控(挂载 + 端点内 _is_dev_mode)③ docs_url 按 env 切(P0-NEW11 已修)
     # ----------------------------------------------------------------------
-    @app.get("/test-ping", tags=["诊断"])
-    async def test_ping():
-        """简单测试 — 不依赖数据库和 Redis"""
-        return success_response(data={"message": "pong"})
-
-    @app.get("/test-error", tags=["诊断"])
-    async def test_error():
-        """测试异常处理 — 故意抛出异常"""
-        raise Exception("这是故意抛出的测试异常")
 
     # ----------------------------------------------------------------------
     # 健康检查端点
@@ -1037,32 +1061,6 @@ def create_app() -> FastAPI:
             }
         }
 
-    @app.get("/version", tags=["系统"])
-    async def version():
-        """版本信息端点。
-
-        返回服务版本信息。
-        """
-        import subprocess
-        from pathlib import Path
-        # v4.0 P1-7 修复：app_root 之前未定义导致 git_hash 永远 "unknown"
-        # 项目根 = app/main.py 的上两级（容器内为 /app）
-        app_root = Path(__file__).resolve().parents[1]
-        try:
-            git_hash = subprocess.check_output(
-                ["git", "rev-parse", "HEAD"],
-                cwd=app_root,
-                text=True
-            ).strip()[:8]
-        except Exception:
-            git_hash = "unknown"
-
-        return {
-            "service": "wecom-it-smart-desk",
-            "version": "1.1.0",
-            "build": git_hash,
-        }
-
     # ----------------------------------------------------------------------
     # 打印所有已注册的路由（调试用）
     # ----------------------------------------------------------------------
diff --git a/src/backend/tests/conftest.py b/src/backend/tests/conftest.py
index 60337ca..1f7eabe 100644
--- a/src/backend/tests/conftest.py
+++ b/src/backend/tests/conftest.py
@@ -361,12 +361,19 @@ def enable_dev_mode(monkeypatch):
     """强制启用 dev_mode，跳过企微 API 调用。
 
     测试环境无法访问企微 API，需要启用 dev_mode 才能正常测试登录等功能。
+
+    P0-NEW12 修复后 (2026-08-12): 同步设置 APP_ENV=development,
+    因为 _is_dev_mode() 现在以 app_env 优先:
+      - production → 永远不是 dev
+      - development/staging → 看 DEV_MODE 开关
     """
     # 设置环境变量
     monkeypatch.setenv("DEV_MODE", "true")
+    monkeypatch.setenv("APP_ENV", "development")
     # 同时设置 settings 属性
     from app.config import settings
     monkeypatch.setattr(settings, "dev_mode", True)
+    monkeypatch.setattr(settings, "app_env", "development")
     yield
 
 
diff --git a/src/backend/tests/test_debug_endpoints_gating.py b/src/backend/tests/test_debug_endpoints_gating.py
new file mode 100644
index 0000000..7b34d8b
--- /dev/null
+++ b/src/backend/tests/test_debug_endpoints_gating.py
@@ -0,0 +1,249 @@
+# =============================================================================
+# P0-NEW12 回归测试 — 调试端点门控
+# =============================================================================
+# 验证项:
+#   1. DEV_MODE=true 时调试端点(/api/debug/*)可访问,返回正常数据
+#   2. DEV_MODE=false 时调试端点不挂载(404 Not Found)
+#   3. 旧端点 /test-ping /test-error /version 已被删除(404)
+#   4. /health /ready /metrics 仍正常(运维端点不回归)
+#   5. 双重门控：debug.py 的 _is_dev_mode() 端点内自校验(防 fail-open)
+#   6. P0-NEW11 不回归: /openapi.json /docs /redoc 在 production 仍 404
+#
+# 关联缺陷: BUG-安全-005-调试端点无门控-001.md
+# =============================================================================
+
+import os
+from unittest.mock import patch
+
+import pytest
+from httpx import ASGITransport, AsyncClient
+
+
+class TestDebugEndpointsDevMode:
+    """DEV_MODE=true 场景: 调试端点应可访问"""
+
+    @pytest.mark.asyncio
+    async def test_debug_ping_returns_pong(self, client):
+        """/api/debug/ping 应返回 pong"""
+        response = await client.get("/api/debug/ping")
+        assert response.status_code == 200, (
+            f"期望 200, 实际 {response.status_code} | body={response.text[:200]}"
+        )
+        body = response.json()
+        assert body.get("code") == 0
+        assert body.get("data", {}).get("message") == "pong"
+
+    @pytest.mark.asyncio
+    async def test_debug_error_raises_handled(self, client):
+        """/api/debug/error 应被全局兜底异常处理器捕获,返回 200 + 业务错误码 1005"""
+        response = await client.get("/api/debug/error")
+        # 全局 catch_all_exception_handler 返回 HTTP 200 + 业务错误码 1005
+        assert response.status_code == 200
+        body = response.json()
+        assert body.get("code") == 1005, f"期望错误码 1005, 实际 {body}"
+        assert "服务器内部错误" in body.get("message", "")
+
+    @pytest.mark.asyncio
+    async def test_debug_version_returns_full_info(self, client):
+        """/api/debug/version 应返回完整版本信息(含 build hash)"""
+        response = await client.get("/api/debug/version")
+        assert response.status_code == 200
+        body = response.json()
+        # dev 模式返回 5 个字段(对照 prod 应只有 2 个)
+        assert body.get("service") == "wecom-it-smart-desk"
+        assert body.get("version") == "1.1.0"
+        assert "build" in body, "dev 版本应包含 build hash"
+        assert body.get("app_env") is not None
+        assert body.get("dev_mode") is True
+
+    @pytest.mark.asyncio
+    async def test_legacy_test_ping_removed(self, client):
+        """旧 /test-ping 端点应已被删除(404)"""
+        response = await client.get("/test-ping")
+        assert response.status_code == 404, (
+            f"旧 /test-ping 应已删除(404), 实际 {response.status_code} | body={response.text[:200]}"
+        )
+
+    @pytest.mark.asyncio
+    async def test_legacy_test_error_removed(self, client):
+        """旧 /test-error 端点应已被删除(404)"""
+        response = await client.get("/test-error")
+        assert response.status_code == 404
+
+    @pytest.mark.asyncio
+    async def test_legacy_version_removed(self, client):
+        """旧 /version 端点应已被删除(404)"""
+        response = await client.get("/version")
+        assert response.status_code == 404
+
+
+class TestOperationalEndpointsPreserved:
+    """运维端点不回归: /health /ready /metrics 应仍可访问"""
+
+    @pytest.mark.asyncio
+    async def test_health_endpoint(self, client):
+        """/health 应返回 200 + {status: ok}"""
+        response = await client.get("/health")
+        assert response.status_code == 200
+        assert response.json().get("status") == "ok"
+
+    @pytest.mark.asyncio
+    async def test_metrics_endpoint(self, client):
+        """/metrics 应返回 200（依赖 psutil,本地无则跳过）"""
+        pytest.importorskip("psutil")
+        response = await client.get("/metrics")
+        assert response.status_code == 200
+        body = response.json()
+        assert body.get("status") == "ok"
+        assert "metrics" in body
+
+
+class TestDebugEndpointsProductionMode:
+    """DEV_MODE=false 场景: 调试端点应不挂载"""
+
+    @pytest.mark.asyncio
+    async def test_debug_endpoints_not_mounted_in_prod(self, monkeypatch):
+        """生产模式(DEV_MODE=false)下调试端点不挂载 → 全部 404
+
+        需要独立构造 app 绕过 conftest 的 autouse 强制 DEV_MODE=true
+        """
+        # 强制 DEV_MODE=false
+        monkeypatch.setenv("DEV_MODE", "false")
+        monkeypatch.setenv("APP_ENV", "production")
+        from app.config import settings
+        monkeypatch.setattr(settings, "dev_mode", False)
+        monkeypatch.setattr(settings, "app_env", "production")
+
+        # 重新构造 app(此时 _is_dev_mode() 应返回 False)
+        from app.main import create_app
+        from app.database import get_db
+        from app.dependencies import dep_redis
+
+        app = create_app()
+
+        # Mock 依赖(让 app 至少能启动)
+        async def _override_db():
+            yield None
+
+        async def _override_redis():
+            return None
+
+        app.dependency_overrides[get_db] = _override_db
+        app.dependency_overrides[dep_redis] = _override_redis
+
+        # 用 ASGI transport 直接打
+        transport = ASGITransport(app=app)
+        async with AsyncClient(transport=transport, base_url="http://test") as ac:
+            # 调试端点应 404(根本没挂载)
+            for path in [
+                "/api/debug/ping",
+                "/api/debug/error",
+                "/api/debug/version",
+            ]:
+                resp = await ac.get(path)
+                assert resp.status_code == 404, (
+                    f"生产模式 {path} 应 404(端点不挂载), 实际 {resp.status_code}"
+                )
+
+            # 旧端点也应 404
+            for path in ["/test-ping", "/test-error", "/version"]:
+                resp = await ac.get(path)
+                assert resp.status_code == 404, (
+                    f"生产模式 {path} 应 404(已删除), 实际 {resp.status_code}"
+                )
+
+            # 运维端点应仍正常
+            resp = await ac.get("/health")
+            assert resp.status_code == 200, (
+                f"生产模式 /health 应仍 200, 实际 {resp.status_code}"
+            )
+
+            # dev_auth 端点也应 404
+            for path in [
+                "/api/dev/login",
+                "/api/dev/users",
+                "/api/dev/health",
+            ]:
+                resp = await ac.get(path)
+                assert resp.status_code == 404, (
+                    f"生产模式 {path} 应 404(不挂载), 实际 {resp.status_code}"
+                )
+
+    @pytest.mark.asyncio
+    async def test_docs_endpoints_closed_in_prod(self, monkeypatch):
+        """P0-NEW11 不回归: production 模式 /openapi.json /docs /redoc 应 404"""
+        monkeypatch.setenv("DEV_MODE", "false")
+        monkeypatch.setenv("APP_ENV", "production")
+        from app.config import settings
+        monkeypatch.setattr(settings, "dev_mode", False)
+        monkeypatch.setattr(settings, "app_env", "production")
+
+        from app.main import create_app
+        from app.database import get_db
+        from app.dependencies import dep_redis
+
+        app = create_app()
+
+        async def _override_db():
+            yield None
+
+        async def _override_redis():
+            return None
+
+        app.dependency_overrides[get_db] = _override_db
+        app.dependency_overrides[dep_redis] = _override_redis
+
+        transport = ASGITransport(app=app)
+        async with AsyncClient(transport=transport, base_url="http://test") as ac:
+            for path in ["/openapi.json", "/docs", "/redoc"]:
+                resp = await ac.get(path)
+                assert resp.status_code == 404, (
+                    f"P0-NEW11 regression: 生产模式 {path} 应 404, 实际 {resp.status_code}"
+                )
+
+
+class TestDoubleGateDefense:
+    """双重门控测试：即便挂载层有 bug，端点内自校验也应兜底"""
+
+    @pytest.mark.asyncio
+    async def test_endpoint_self_check_against_force_mounted_bug(self, monkeypatch):
+        """模拟挂载层 fail-open（debug_router 被强制 include）但端点内 _is_dev_mode() 兜底
+
+        通过直接构造一个不含挂载分支的 app，模拟挂载层漏门控的极端场景
+        """
+        from fastapi import FastAPI
+        from app.api.debug import router as debug_router
+        from app.config import settings
+        from app.database import get_db
+        from app.dependencies import dep_redis
+
+        # 强制 DEV_MODE=false
+        monkeypatch.setenv("DEV_MODE", "false")
+        monkeypatch.setattr(settings, "dev_mode", False)
+
+        # 极端场景：app 创建时强制 include debug_router（模拟挂载层 bug）
+        app = FastAPI()
+        app.include_router(debug_router)
+
+        async def _override_db():
+            yield None
+
+        async def _override_redis():
+            return None
+
+        app.dependency_overrides[get_db] = _override_db
+        app.dependency_overrides[dep_redis] = _override_redis
+
+        transport = ASGITransport(app=app)
+        async with AsyncClient(transport=transport, base_url="http://test") as ac:
+            # 即便挂载了 debug_router,端点内 _is_dev_mode() 也应兜底 403
+            resp = await ac.get("/api/debug/ping")
+            assert resp.status_code == 403, (
+                f"双重门控应兜底 403, 实际 {resp.status_code} | body={resp.text[:200]}"
+            )
+
+            resp = await ac.get("/api/debug/error")
+            assert resp.status_code == 403
+
+            resp = await ac.get("/api/debug/version")
+            assert resp.status_code == 403