chore(release): 冻结 v1.1.0 版本

- 同步版本号：VERSION / backend pom / admin-web / miniapp 均升至 1.1.0
- 合并本轮代码审查修复（详见 docs/CODE-REVIEW-2026-09-24.md）：
  - 后端：微信登录真实实现 RealWechatLoginProvider、实名核验真实实现 RealIdentityVerificationProvider（本地强校验 + 可配置第三方 + fail-closed/fail-fast）
  - 照片直传落库端点 POST /me/photos/confirm（fileKey 归属校验 + 对象存在性校验后 savePhoto）
  - 刷新 Token Redis TTL 修正（getExpirationMs()*2 的 4h → refreshExpirationMs 的 14 天）
  - 管理端 token 改为 HttpOnly Cookie + silent-refresh，移除 localStorage 明文存储与 30+ 处手工注入
  - 小程序：红娘接单鉴权头错位修复、serviceType 中文映射、生产域名可配置
- 隔离本地产物（.workbuddy/、*.bundle、*.dump、secrets、application-dev.yml 等已被 .gitignore 覆盖）

未验证项（打标签 ≠ 生产发布）：
- 后端编译 / 单测未在本环境执行（Maven 慢、Docker DNS 受限）
- 管理端 登录→刷新→登出 端到端、小程序真机走查待人工验收
- 生产部署需注入 WECHAT_APP_ID / WECHAT_APP_SECRET、VERIFICATION_API_URL / VERIFICATION_API_KEY 与小程序生产域名

.github/CODEOWNERS

@@ -0,0 +1,37 @@
+# CODEOWNERS — 善缘丹阳公益婚恋平台 审查角色分配（草案）
+#
+# 作用：开 PR 时 GitHub 自动向对应路径的 owner 请求审查；配合分支保护与
+#       docs/governance/CODE_REVIEW_STANDARDS.md 的 T0/T1/T2 分级与双审规则使用。
+# 语法：https://docs.github.com/en/repositories/managing-your-repositories-settings-and-features/customizing-your-repository/about-code-owners
+#
+# 当前为一人团队，默认全部归技术负责人 @g1307092382。
+# 待扩员时，把各端拆给对应熟悉者即可；T2 高危改动按审查标准须 2 人复核（其中 1 人为该端 owner）。
+# 说明：CODEOWNERS 只负责「请求谁审」，不强制「必须不同人」；双审由审查流程纪律保证。
+# 排序：子路径必须放在父路径之后（GitHub 取最后一个匹配的规则）。
+
+# —— 默认兜底 ——
+*                                       @g1307092382
+
+# —— 后端（Spring Boot / Java）——
+/backend/                               @g1307092382
+
+# 数据库迁移（Flyway）：schema 变更属 T2，须重点复核（放在 /backend/ 之后）
+/backend/src/main/resources/db/migration/   @g1307092382
+
+# —— 微信小程序（原生 WXML/WXSS/TS）——
+/miniapp/                               @g1307092382
+
+# —— 管理端（Vue3 / TS / pnpm）——
+/admin-web/                             @g1307092382
+
+# —— 测试与契约守卫（跨端契约，需熟悉各端）——
+/tests/                                 @g1307092382
+/ui-tests/                              @g1307092382
+/scripts/run-ui-contracts.mjs           @g1307092382
+
+# —— 基础设施 / 部署（Compose / 镜像 / 密钥）——
+/infrastructure/                        @g1307092382
+
+# —— 治理与审查机制文档（变更须经技术负责人确认）——
+/docs/governance/                       @g1307092382
+/.github/                               @g1307092382

.github/PULL_REQUEST_TEMPLATE.md

@@ -0,0 +1,69 @@
+<!--
+提 PR 前请先读 docs/governance/CODE_REVIEW_STANDARDS.md。
+本模板是合并准入的硬性门槛：逐项打勾 = 已实际验证（不是"应该没问题"）。
+证据优先：描述里的"✅已完成"不是证据，请贴命令+输出/代码 diff/实测结论。
+-->
+
+## 变更摘要
+<!-- 改了什么、为什么、影响面 -->
+
+## 风险分级（见审查标准 §2）
+- [ ] T0 琐碎（纯文案/文档/格式化/资源重命名）
+- [ ] T1 常规（单端功能/Bug/UI/单 API）
+- [ ] T2 高危（鉴权/支付/隐私/跨端契约/DB schema/并发幂等/已知阻塞项）— 需 2 人复核
+
+## 验证方式（必填，证据优先）
+<!-- 贴实际跑过的命令与关键输出；不要只写"已自测通过" -->
+- 本地测试/契约守卫命令与结果：
+- 运行时实测（如涉及渲染/接口，贴 mock/路由/关键响应）：
+- 负向注入（新增或修改测试时必填：故意改坏后测试是否转红）：
+
+## 技术栈审查清单（按本 PR 涉及项打勾）
+### 后端 Java / Spring Boot
+- [ ] 业务拒绝用 `BusinessException`+`ApiResponseCode`（HTTP 400≤code<500），无裸 `RuntimeException`
+- [ ] 测试对业务拒绝断言 `400 ≤ status < 500`（非仅 `!= 200`）
+- [ ] 核心不变量（INV-014/015、Required/Mutual/Block 等）未被绕过
+- [ ] 主键/唯一键/CHECK 约束与 Java 枚举一致，无静默 no-op 写
+- [ ] 无新增死表/死配置（`system_configs`/`match_rule_configs` 类）
+
+### 小程序 miniapp
+- [ ] `app.json`/`pages.json` 路径与磁盘文件一致、无前导 `/`
+- [ ] `ignoreDevUnusedFiles`/`ignoreUploadUnusedFiles` = false（资源不被吞）
+- [ ] 跨端字段名与后端规范名一致（tsc 不保护 JS 层字段名）
+- [ ] WXSS 无通配符/属性选择器/嵌套注释；`<image>` 显式高度
+- [ ] 胶囊安全区让出 `--nav-right`
+
+### 管理端 admin-web
+- [ ] 渲染相关状态走 `ref`/`reactive`，已补渲染态实测
+- [ ] 颜色/字号收敛到 `src/theme/` token，EP 主色阶补全 `-light-N`/`-dark-2`/`-rgb`
+- [ ] 表单校验类型安全、出错保留输入
+- [ ] 触摸目标 ≥44px，尊重 `prefers-reduced-motion`
+
+### 数据库迁移 SQL
+- [ ] `V<序号>__<描述>.sql` 命名，版本连续唯一
+- [ ] 向后兼容，NOT NULL 新列有默认值/迁移
+- [ ] CHECK 约束与枚举一致，破坏性变更有回滚方案
+
+### 测试 / 契约守卫
+- [ ] 无空壳 `skip`/`pass` 测试
+- [ ] 已做负向注入证明判别力
+- [ ] `scripts/run-ui-contracts.mjs` 的 `MIN_GUARDS`(当前 23) 同步（增删守卫必改）
+
+### 脚本 / 基础设施
+- [ ] 脚本真实依赖已在 CI 对应 job 安装（非仅本地能跑）
+- [ ] 密钥仅运行期、不落盘；本地栈固定 `-p danyang`
+
+## 判据纪律自查（见审查标准 §5，对应改动必查）
+- [ ] 非空数据验证（无空数据假绿，如推荐/列表返回空也能过）
+- [ ] 无直连绕过（关键路径至少一个经 HTTP 层断言）
+- [ ] 约束相关改动在带约束环境验证（无测试库缺约束假绿）
+- [ ] 小程序改动不走 `Mini Program Compile Check` 的"仅 tsc"假绿，已真编译/查资源
+- [ ] 合并后回读 `git rev-parse HEAD` + 轮询 CI 确认本次 head 真 success
+
+## 已知阻塞 / 决策关联
+- [ ] 本 PR 是否触碰上线阻塞项（微信真实登录 / 照片直传落库）？若是：✅本次解决 / ⚠️未解决已登记 known-risks
+- [ ] 是否与 `decision-register` 的 LOCKED 决策冲突？若是：已回决策层确认（附结论）
+- [ ] 是否产生新债务？若是：已登记 `known-risks.md`（编号 KR-xx）
+
+## 关联
+<!-- 关联 Issue / 决策 / 风险编号 -->

.github/workflows/ci.yml

@@ -42,8 +42,36 @@ jobs:
         uses: actions/setup-node@v4
         with:
           node-version: '20'
-          cache: 'pnpm'
-          cache-dependency-path: admin-web/pnpm-lock.yaml
+          # 这里不能写 cache: 'pnpm'。
+          # 2026-09-22 实测：runner 镜像（ubuntu-24.04 / runner 2.337.0）**已不再预装
+          # pnpm**，而 setup-node 的 cache 步骤在 restore 阶段就需要调用 pnpm 可执行文件，
+          # 于是直接报 "Unable to locate executable file: pnpm"，整个 job 在第一步失败、
+          # 后续步骤全部 skipped —— 表现为 admin-web job 秒红，且与业务代码无关。
+          # （同批的 miniapp job 没配 cache 所以活了下来，正好反向印证了这一点。）
+          # 因此：先让 pnpm 存在于 PATH，缓存改为手动配置。
+
+      - name: 启用并锁定 pnpm
+        # corepack 随 Node 分发，runner 上没有 pnpm 但有 corepack。
+        # 钉 9.15.9 的理由：pnpm 9 与 10 对「是否默认放行依赖 build 脚本」语义相反，
+        # 而 pnpm-workspace.yaml 里的 onlyBuiltDependencies 正是版本敏感项
+        # （esbuild / vue-demi 的 postinstall 若被静默阻断，会出现 install 能过、
+        # build 变红，且错误信息不指向真正原因）。钉死后不再随 runner 镜像升级而变化。
+        run: |
+          corepack enable pnpm
+          corepack prepare pnpm@9.15.9 --activate
+          pnpm --version
+
+      - name: 解析 pnpm store 路径
+        id: pnpm-store
+        run: echo "path=$(pnpm store path --silent)" >> "$GITHUB_OUTPUT"
+
+      - name: 缓存 pnpm store
+        uses: actions/cache@v4
+        with:
+          path: ${{ steps.pnpm-store.outputs.path }}
+          key: ${{ runner.os }}-pnpm-store-${{ hashFiles('admin-web/pnpm-lock.yaml') }}
+          restore-keys: |
+            ${{ runner.os }}-pnpm-store-
 
       - name: Install Dependencies
         working-directory: admin-web
@@ -143,9 +171,45 @@ jobs:
       - name: 禁止 skip/pass 空壳测试
         run: python3 scripts/check-no-empty-tests.py tests
 
+  ui-contracts:
+    name: UI Contracts (source-structure gates)
+    runs-on: ubuntu-latest
+    # Phase 23 遗留（收尾计划 批 1 Task 1.1）：UI 契约门禁此前**只在本地手工执行**，
+    # 没有 CI 把关 —— 即「改动破坏了源码结构契约也不会被发现」。
+    # 2026-09-19：14 → 15 → 18 个守卫。
+    #   第 15 项 WXML 结构守卫（此前 14 绿时小程序仍有两个页面编译失败:
+    #   service-history / service-program 各多一个 </view>）；
+    #   第 16/17 项：`this._x()` 无定义（运行期 TypeError，曾致所有请求 Promise 永不 settle）
+    #   与组件 WXSS 违规选择器（标签/ID/属性选择器）；
+    #   第 18 项：api.js 请求层**行为**契约（桩 wx.request 真跑，非源码断言）。
+    # 统一执行器负责逐个跑 + 汇总 + 非零退出，
+    # 并校验守卫数量下限（防止守卫被删除/改名后仍然报绿）。
+    steps:
+      - uses: actions/checkout@v4
+
+      - name: Set up Node.js
+        uses: actions/setup-node@v4
+        with:
+          node-version: '20'
+
+      # 2026-09-22 修正：本 job 此前注释称「零 npm 依赖，故无需装依赖」，这个声明是错的。
+      # 至少 phase04 守卫会 import miniapp/node_modules/typescript/lib/typescript.js
+      # （用 TS 编译器 API 解析小程序源码）。本地能跑通只因为工作区早已装过 miniapp 依赖；
+      # CI 的每个 job 都在**独立 runner**上，miniapp job 装的东西不会共享过来，
+      # 于是这里直接 ERR_MODULE_NOT_FOUND。
+      # 「依赖声明与实际不符」正是本地绿 / CI 红最典型的一类来源。
+      - name: 安装 miniapp 依赖（phase04 守卫需要 typescript 编译器 API）
+        working-directory: miniapp
+        run: npm install
+
+      - name: 运行 UI 契约门禁
+        run: node scripts/run-ui-contracts.mjs
+
   e2e:
     name: E2E (live stack)
     runs-on: ubuntu-latest
+    # 防挂死：GH Actions 默认 360 分钟，起栈失败若无人超时会把流水线拖住数小时。
+    timeout-minutes: 30
     # Phase 23 遗留 D-23-D：计划要求 CI 串联 E2E。此前 E2E 从未真正执行过——
     # 无 conftest、fixture 不存在、文件在 import 期就崩。本 job 起真实栈后执行。
     needs: [backend, migration]
@@ -176,20 +240,56 @@ jobs:
           WECHAT_APP_SECRET=
           ENV
 
-      - name: 起真实栈（postgres + redis + backend）
+      # 「活栈供给方式」决策（2026-09-18）：**在 runner 内用 Compose 起全栈**。
+      # 备选是 service containers + 在 runner 上 `mvn package` 后 `java -jar`，但那需要为后端
+      # 另写一套 host 网络配置，等于制造第二条与本地不一致的路径；Compose 全栈则与本地验证
+      # 路径完全相同（2026-09-18 本机按同一序列实测：中间件三项 healthcheck 全 Healthy、
+      # backend /health/live 200、seed 幂等可执行、**pytest tests/e2e 49 passed**）。
+      - name: 校验 compose 配置（秒级快速失败，早于任何构建）
         working-directory: infrastructure
-        run: docker compose up -d --build postgres redis backend
+        run: docker compose config --quiet
+
+      # 2026-09-22：compose 的对象存储已换成 chrislusf/seaweedfs:4.47 并钉版。
+      # 单独保留这一步的理由：镜像拉取失败在 compose up 里会埋进几十行输出，
+      # 这里能在起栈前秒级暴露「上游镜像下架」这类外部依赖失效 ——
+      # 上一轮正是靠日志里的 pull access denied 才定位到 MinIO 已移除 Docker Hub 仓库
+      # （minio/minio 现返回 404；教训是「第三方镜像」本身就是外部依赖风险点）。
+      - name: 校验 seaweedfs 钉版镜像可拉取并打印版本
+        run: |
+          docker pull chrislusf/seaweedfs:4.47
+          docker run --rm chrislusf/seaweedfs:4.47 version
+
+      # 保证库为全新：seed 用 `ON CONFLICT (username) DO NOTHING`，若卷是上一轮残留，
+      # 账号密码会停留在上一轮的 `E2E_OPERATOR_PASSWORD` 上 → 本轮登录 401（表现为各种业务失败）。
+      - name: 清理可能的残留栈与数据卷
+        working-directory: infrastructure
+        run: docker compose down -v --remove-orphans || true
+
+      # 构建与起栈分两步：构建失败时的日志不混杂在 up 输出里，定位更快。
+      - name: 构建 backend 镜像
+        working-directory: infrastructure
+        run: docker compose build backend
+
+      - name: 起真实栈（postgres + redis + seaweedfs + 建桶 + backend）
+        # 显式列出 seaweedfs 与 storage-init：backend 的 depends_on 虽会隐式拉起它们，
+        # 但隐式依赖不利于阅读，且 seaweedfs 的 healthcheck 是 backend 启动的前置条件。
+        # storage-init 是**一次性**建桶容器 —— SeaweedFS 不会自动建桶，
+        # PutObject 到不存在的 bucket 会直接失败，少了它照片链路就是断的
+        # （E2E 对存储零覆盖，不会替你发现）。
+        working-directory: infrastructure
+        run: docker compose up -d postgres redis seaweedfs storage-init backend
 
       - name: 等待 backend 就绪（超时即失败，不静默跳过）
+        # 窗口 90×5s=7.5min：首次构建后还需 Spring 启动 + Flyway 46 个迁移，5min 偏紧。
         run: |
-          for i in $(seq 1 60); do
+          for i in $(seq 1 90); do
             if curl -sf "$E2E_BASE_URL/health/live" > /dev/null; then
               echo "backend READY after ${i} checks"; exit 0
             fi
             sleep 5
           done
-          echo "::error::backend 未在 5 分钟内就绪"
-          docker compose -f infrastructure/docker-compose.yml logs backend
+          echo "::error::backend 未在 7.5 分钟内就绪"
+          docker compose -f infrastructure/docker-compose.yml logs --tail=200 backend
           exit 1
 
       - name: Seed E2E 运营账号（迁移不含 operator 种子，全新库无账号可登录）
@@ -199,7 +299,10 @@ jobs:
             -v pwd="$E2E_OPERATOR_PASSWORD" -f - < ../tests/e2e/sql/seed_e2e_operators.sql
 
       - name: Run E2E
-        run: pytest -v
+        # 显式给出目录：pytest.ini 的 `testpaths = tests/e2e` 已限定范围，但显式传参可防
+        # 该配置被改动后悄悄扩大收集范围（仓库根另有 tests/*_test.py 不是 E2E 用例，
+        # 且它们在 import 期即依赖 psycopg2 与 E2E_DB_PASSWORD，会被收集成 error）。
+        run: pytest tests/e2e -v
 
       - name: Teardown（无论成败都清理并留日志）
         if: always()

.gitignore

@@ -10,11 +10,30 @@ package-lock.json
 yarn.lock
 pnpm-lock.yaml
 
+# 例外：依赖锁文件必须入库，CI 的可复现安装依赖它们。
+#
+# 2026-09-22 修复背景：上面四条规则此前把 admin-web/pnpm-lock.yaml 与
+# miniapp/package-lock.json 一并挡在版本控制之外，于是 CI checkout 后的环境
+# 与本机完全不同：
+#   - admin-web：`pnpm install --frozen-lockfile` 找不到 lockfile → 直接失败
+#     （frozen 模式的语义就是「必须存在且不可变更」，缺文件不是警告而是错误）；
+#   - miniapp：`npm install` 无 lockfile 约束，版本随上游浮动，
+#     `npx tsc --noEmit` 的结果不与任何一次本地验证对齐。
+# 二者共同导致「本地绿、CI 红」且二者都不可解释。
+#
+# 只放行每个包真正使用的那把锁：admin-web 走 pnpm，miniapp 走 npm。
+# admin-web/package-lock.json 仍然忽略 —— 同一目录并存两把锁会让两种包管理器
+# 各自按自己的锁安装，漂移时彼此看不出问题，属于典型的双锁冲突。
+!admin-web/pnpm-lock.yaml
+!miniapp/package-lock.json
+
 # Build outputs
 backend/target/
 admin-web/dist/
 miniapp/dist/
 miniapp/unpackage/
+# vite 在 dev server 被强杀（未优雅退出）时会遗留配置临时文件
+admin-web/vite.config.ts.timestamp-*.mjs
 
 # IDE
 .idea/
@@ -51,7 +70,17 @@ Thumbs.db
 .DS_Store
 
 # Secrets and certificates
-docker-compose.prod.yml
+#
+# 2026-09-22 修正：`docker-compose.prod.yml` 原先被列在本段（当作密钥）而排除出
+# 版本控制，这是**误分类** —— 该文件不含任何明文密钥：所有敏感值都通过
+# `${VAR:?请设置...}` 注入，db 密码走 Docker secrets（./secrets/db_password.txt），
+# 文件头注释本身也写着「敏感信息通过 .env 文件注入，不进 Git」。
+#
+# 后果：backend 的 `DeploymentTests.testDockerComposeProdExists` 断言该文件存在，
+# 于是「本地恒绿（文件在工作区）、CI 恒红（checkout 拿不到）」——
+# 一次典型的本地绿/CI 红假绿，且从本地永远发现不了。
+# 生产部署配置需要可复现、可评审，应与 staging 版一致纳入版本控制。
+# 真正的密钥仍由下面三条挡住。
 infrastructure/secrets/
 infrastructure/certs/
 infrastructure/backups/

AGENTS.md

@@ -22,7 +22,7 @@ V1.1 是 V1.0 的增量升级。正确的 V1.0 核心按 KEEP 处理，不得因
 
 业务 Phase 唯一执行计划：`docs/善缘丹阳 V1.1 客户需求基线增量开发与修复计划.md`。
 
-当前 UI 重设计唯一总计划：`docs/superpowers/plans/2026-09-13-reference-driven-dual-client-ui-redesign.md`。首批范围（小程序 11 个核心页面 + 管理端框架/工作台）已于 **2026-09-16 通过用户验收（结论：基本达标）**，此前"视觉否决 / REOPENED"的判定随之关闭，UI 契约门禁 13/13 全绿。管理端桌面端目视复验仍待用户执行。
+当前 UI 重设计唯一总计划：`docs/superpowers/plans/2026-09-13-reference-driven-dual-client-ui-redesign.md`。首批范围（小程序 11 个核心页面 + 管理端框架/工作台）已于 **2026-09-16 通过用户验收（结论：基本达标）**，此前"视觉否决 / REOPENED"的判定随之关闭，UI 契约门禁 **18/18** 全绿（2026-09-16 时为 13 项，此后新增端口与 `/admin/` 子路径一致性门禁；2026-09-19 连补 4 项 —— 第 15 项 **WXML 结构守卫**：此前全绿时小程序实际有两个页面 `service-history` / `service-program` 因多一个 `</view>` **编译失败**；第 16 项 **私有方法调用守卫**：`this._x()` 无定义会抛 TypeError，且该调用位于 `resolve` 之前时会让**所有请求**的 Promise 永不 settle；第 17 项 **组件 WXSS 选择器守卫**；第 18 项 **api.js 请求层行为契约**（桩掉 `wx.request` 真跑）。前三项说明既有门禁全是源码内容断言、没有一条会解析 WXML/WXSS 或符号）。管理端桌面端目视复验仍待用户执行。
 
 ---
 
@@ -61,6 +61,7 @@ V1.1 是 V1.0 的增量升级。正确的 V1.0 核心按 KEEP 处理，不得因
 24. **Service Station Operator 不可浏览全用户库** — 服务站人员只能处理现场预约和指定任务
 25. **主办单位关系不自动授予数据权限** — Organization relationship ≠ 用户数据访问权限，权限由 Role+Permission+DataScope 控制
 26. **前端 Capability 控制入口** — 用户端各功能入口可见性由服务端 CapabilityService 返回决定，前端不自行拼状态判断
+27. **配置与规则治理（V1.0.1 纠偏基线）** — 技术默认值 ≠ 产品正式确认规则。所有未经产品确认的数量/阈值/时间/比例/权重/容量/开关/冷却期，一律按「`DEFAULT + CONFIG`」管理：可配置化（`@ConfigurationProperties`/Feature Flag）、**不得**作为 `LOCKED` 业务规则写死；每个配置有唯一 canonical key，登记 `docs/governance/config-register.md`，未确认项登记 `docs/governance/open-questions.md`，已确认项才入 `docs/governance/decision-register.md`。涉及并发的上限必须有服务器端强校验 + 并发突破测试。详见 `docs/governance/`（config-register / open-questions / decision-register / hardcoded-rule-audit / config-drift-audit）。
 
 ---
 

CHANGELOG.md

@@ -1,3 +1,6 @@
+> **📌 指针（2026-09-18 头注）**：V1.1 变更记录见 `docs/V1_1_CHANGELOG.md`；发布级变更另见
+> `releases/v1.0.0-RC.1|RC.2/`。本文件不再逐版本维护。
+
 # CHANGELOG
 
 所有重要变更将记录在此文件中。

IDEA.md

@@ -1 +0,0 @@
-婚恋服务小程序

REMAINING_WORK.md

@@ -1,322 +1,96 @@
-# 丹阳公益婚恋服务平台 V1.0 — 上线前剩余工作
+# 丹阳公益婚恋服务平台 V1.1 — 上线前剩余工作
 
-> 本文件为上线前必须完成的工作清单，按优先级排序。
-> 交由 WorkBuddy 执行。
+> **最后更新：2026-09-18**（原文为 2026-09-01，内容已严重过期，本轮按实测重写）
+>
+> ⚠️ **重写说明**：本文件此前被多处引用，但内容与实际严重不符 —— 称 `CHANGELOG.md` 有 **3.3MB**（实际
+> **4234 字节 / 73 行**）；P1-3 指向**已删除**的 `docs/Phase-23-Completion-Report.md`。2026-09-18 文档治理按实测重写，
+> 并保留原编号以便对照历史引用。**逐项处置计划与批次划分**见
+> `docs/superpowers/plans/2026-09-18-phase23-closeout-and-uat-readiness.md`。
 
 ---
 
-## P0 — 上线前必须完成（阻塞性）
+## 一、已关闭项（原文标为阻塞 / 重要，实测已完成）
 
-### P0-1: 产品确认16项技术默认值
-
-**文件**: `docs/PENDING_DECISIONS.md`
-
-**问题**: 以下技术默认值已硬编码，但无产品最终确认：
-
-| 决策项 | 当前技术默认值 | 需要确认 |
+| 原编号 | 事项 | 结论（2026-09-18 复核） |
 |---|---|---|
-| 每日推荐数量 | 6 人 | 产品确认 |
-| 推荐最低阈值分数 | 60 分 | 产品确认 |
-| Pass 冷却时间 | 180 天 | 产品确认 |
-| 照片上限 | 6 张 | 产品确认 |
-| 兴趣标签上限 | 8 个 | 产品确认 |
-| 自我介绍长度上限 | 500 字符 | 产品确认 |
-| Privacy 默认值 | 全部 TRUE | 产品确认 |
-| 活动是否需要审核 | TRUE | 产品确认 |
-| 活动互选最大人数 | 3 人 | 产品确认 |
-| 活动互选截止时间 | 48 小时 | 产品确认 |
-| 红娘是否允许电话联系 | FALSE | 产品确认 |
-| "正在了解"是否自动暂停推荐 | 用户选择 | 产品确认 |
-| RelationshipStatus 最终命名 | searching/getting_to_know/paused/matched_successfully/service_exited | 产品确认 |
-| Appeal 是否 V1.0 首发 | 否（Feature Flag 预留） | 产品确认 |
-| 每日推荐重置时间 | 00:00 Asia/Shanghai | 产品确认 |
-
-**操作**:
-1. 产品负责人逐一确认以上16项
-2. 确认后更新 `application.yml` 或对应配置类
-3. 从 `docs/PENDING_DECISIONS.md` 移除已确认项
-4. 更新 `AGENTS.md` 中的规则说明（如有影响）
+| P0-1 | 产品确认 16 项技术默认值 | ✅ **已确认 16 项**（见 `docs/PENDING_DECISIONS.md`「已确认决策列表」）；仍有 13 项待确认（另见该文件「第三方开放遗留」7 项） |
+| P0-2 | 隐私政策最终版本确认 | ✅ `docs/legal/privacy-policy.md` 已存在（2996 字节）。上线前仍需确认是否经法务终审签署 |
+| P0-3 | PIA（隐私影响评估）书面记录 | ✅ `docs/security/PIA.md` 已存在（4700 字节） |
+| P1-1 | CoreInvariantsTest 补实质性测试 | ✅ **已如实处置**：该类（195 行 / 12 用例）已明确降级为「**常量取值口径守卫，不验证行为**」（DisplayName 已改），真实行为验证转由各 Integration 测试承担（Phase 13 复验）。原文"只是检查常量定义"的批评成立，但处置方式是**如实命名 + 转移**，而非硬塞行为断言 |
+| P1-2 | PermissionMatrixTest 补自动化验证 | ✅ 已有 341 行 / 12 用例；权限覆盖另由 `V11PermissionMatrixContractTest`（**扫描全部迁移**）+ `OperatorEndpointPermissionCoverageTest` 承担 |
+| P1-3 | 补全 Phase 23 系统测试完成报告 | ✅ `docs/Phase-23-V11-Recovery-Completion-Report-2026-09-18.md` 已存在（结论：**部分关闭**）。**注意原文指向的 `docs/Phase-23-Completion-Report.md` 从未存在** |
+| P1-4 | 清理 CHANGELOG 重复内容 | ✅ **不成立**：`CHANGELOG.md` 实际 **4234 字节 / 73 行**，无重复条目问题；已加指向 `docs/V1_1_CHANGELOG.md` 的指针头注（2026-09-18） |
+| P2-1 | AccountLifecycle 注销联动完善 | ✅ Phase 21 复验关闭（2026-09-18）：**CLOSED 仍可登录、两处 TODO 桩、匿名化死代码、注销障碍设计矛盾**等 6 处缺陷已修 |
+| P2-2 | PhotoService Presigned URL 实现 | ⚠️ **部分**：`PhotoService` 魔数校验恒失败、PDF 被误挡等已修（Phase 10 复验）；`POST /me/photos/upload-token` / 下载凭证 / EXIF 清理的落地程度**待确认** |
+| P2-3 | WebSocket 在线状态管理 | ✅ Phase 09 复验关闭（2026-09-16）：下行链路死代码、握手鉴权、Unmatch 不联动会话等 4 处缺陷已修 |
 
 ---
 
-### P0-2: 隐私政策最终版本确认
+## 二、仍未完成（按优先级）
 
-**问题**: Go/No-Go 检查单标注"待确认"，为上线前绝对阻塞项。
+### A. 阻塞 Phase 24（UAT）启动
 
-**操作**:
-1. 确认隐私政策文本（用户数据采集、存储、使用、共享、权利）
-2. 确认用户协议文本
-3. 将最终版本放入 `docs/legal/` 目录
-4. 更新小程序登录页和设置页的协议链接
+1. **Phase 23 剩余**：E2E 场景真实实现 + CI 串联 E2E —— 需「活栈供给方式」**基础设施决策**
+   （占位文件头已保留场景清单：首页 11 / 本地资格 11 / 互选 8 / 权限 10 / 预约 7 项）。
+2. **管理端桌面端目视复验** —— 需**用户执行**。
+3. **`docs/PENDING_DECISIONS.md` 13 项待决策** —— 需产品确认。
+
+> 在 A 组完成前，**不应宣布「失败为零可进入 UAT」**（Phase 23 Gate 要求端到端链路被真实执行）。
+
+### B. 上线前（运维 / 产品，需人工）
+
+- **P0-4** 微信小程序审核提交（人工）。
+- **P0-5** SSL 证书申请与 DNS 配置（人工）。
+- **Phase 22 Deployment / Ops 口径 5 项未复验**：删除镜像跳过测试的发布路径、生产关 Mock WeChat/演示 Seed/Debug/Swagger、
+  端口与依赖检测、**备份加密 + 真实恢复演练**、Rollback 目标明确。
+  ⚠️ 该 Phase 与 `STATUS.md` 所述「Phase 22 部署运维配置扩展（Feature Flag）」**是两份不同工作**。
+- **Phase 25 运营素材**（真实 Banner/站点/咨询/课堂/反诈内容，不 Seed 假数据）、**Phase 26 上线前 13 项 smoke**。
+
+### C. 代码级遗留（不阻塞 UAT，但需清偿）
+
+- **Phase 21**：① 红娘服务进行中拦截**硬编码 `0`** —— 根因是数据模型**没有 `matchmaker_services` 表**，
+  拦截项在设计上无法落地（建表属扩权，待产品确认存储模型）；② `getPrivacySettings` / `updatePrivacySettings` 仍是 TODO 桩。
+- **Phase 22**：T01~T05 五个模块开关 + T07 私有桶为**死配置**（配置暴露但从未被业务读取）。
+- **任务级 ⏳**：P16-T13（互选超时接线）、P13A-T31（随访审计）、P13A-T33（`RiskEvent source=counseling`）、
+  P04-T10（Onboarding 本地资格步骤）。
 
 ---
 
-### P0-3: PIA（隐私影响评估）书面记录
+## 三、原编号索引（便于对照历史引用）
 
-**问题**: 9个场景需要书面记录，当前无记录。
-
-**操作**:
-1. 按以下场景撰写PIA记录：
-   - 实名认证（身份证采集）
-   - 照片存储与展示
-   - 位置/地区信息
-   - 聊天消息存储
-   - 活动报名数据
-   - 红娘服务数据
-   - 举报与风控数据
-   - 账号注销与数据删除
-   - 跨组织数据访问
-2. 保存到 `docs/security/PIA.md`
+| 原编号 | 原文标题 | 本文件位置 |
+|---|---|---|
+| P0-1 | 产品确认 16 项技术默认值 | 一、已关闭 |
+| P0-2 | 隐私政策最终版本确认 | 一、已关闭（待法务终审） |
+| P0-3 | PIA 书面记录 | 一、已关闭 |
+| P0-4 | 提交微信小程序审核 | 二、B |
+| P0-5 | SSL 证书申请与 DNS 配置 | 二、B |
+| P1-1 | CoreInvariantsTest 补充实质性测试 | 一、已关闭 |
+| P1-2 | PermissionMatrixTest 补充自动化验证 | 一、已关闭 |
+| P1-3 | 补全 Phase 23 系统测试完成报告 | 一、已关闭 |
+| P1-4 | 清理 CHANGELOG.md 重复内容 | 一、已关闭（原描述不成立） |
+| P2-1 | AccountLifecycle 注销联动完善 | 一、已关闭 |
+| P2-2 | PhotoService Presigned URL 实现 | 一、部分 |
+| P2-3 | WebSocket 在线状态管理 | 一、已关闭 |
 
 ---
 
-### P0-4: 提交微信小程序审核
+## 四、验收标准（更新）
 
-**问题**: 用户端核心入口，无审核通过的小程序无法服务用户。
-
-**操作**:
-1. 在微信公众平台提交小程序审核
-2. 确保所有页面符合微信小程序审核规范
-3. 配置好 `app.json` 中的类目和标签
-4. 准备好隐私政策链接（见 P0-2）
+| 项目 | 验收条件 | 状态 |
+|---|---|---|
+| P0-1 | 16 项全部产品确认，配置正确，文档更新 | ✅ 已完成 |
+| P0-2 | 隐私政策文本在 `docs/legal/` 中，链接正确 | ✅ 文件已就位（待终审确认） |
+| P0-3 | `PIA.md` 存在，覆盖全部 9 个场景 | ✅ 文件已就位 |
+| P1-1 | CoreInvariantsTest 用例如实命名；真实行为由 Integration 测试覆盖 | ✅ 已如实处置 |
+| P1-2 | 权限矩阵 9×18 覆盖，实际调用验证 | ✅ 由契约守卫承担 |
+| P1-3 | Phase 23 完成报告存在且内容完整 | ✅ 已存在（部分关闭） |
+| P1-4 | `CHANGELOG.md` < 100KB，无重复条目 | ✅ 已满足（4.2KB） |
+| P0-4 | 微信审核提交并通过 | ⬜ 待人工 |
+| P0-5 | HTTPS 正常，证书有效 | ⬜ 待人工 |
+| Phase 23 剩余 | E2E 场景实现 + CI 串联 | ⬜ 待决策 |
+| Phase 24 | UAT 分角色验收，阻断缺陷为零 | ⬜ 待用户确认启动 |
 
 ---
 
-### P0-5: SSL证书申请与DNS配置
-
-**问题**: 生产HTTPS必需。
-
-**操作**:
-1. 申请SSL证书（Let's Encrypt 或商业证书）
-2. 配置生产域名 DNS 解析（`match.danyang.gov.cn` 或约定域名）
-3. 将证书放入 `infrastructure/certs/`
-4. 验证 `nginx-production.conf` 中的证书路径
-
----
-
-## P1 — 上线前应该完成（重要）
-
-### P1-1: CoreInvariantsTest 补充实质性测试
-
-**文件**: `backend/src/test/java/com/danyang/match/platform/invariants/CoreInvariantsTest.java`
-
-**问题**: 当前测试只是检查常量定义，不是真正的业务逻辑验证。
-
-**需要实现**（每个不变量需要真实业务逻辑测试）:
-
-```java
-// INV-001: Required不可自动放宽
-@Test
-void testRequiredConditionNotRelaxed() {
-    // 创建用户A（要求对方学历=本科）和用户B（学历=专科）
-    // B进入A的推荐池 → 应该被Required条件过滤
-    // 验证B不在推荐结果中
-}
-
-// INV-002: 未Mutual不可聊天
-@Test
-void testCannotMessageWithoutMutual() {
-    // 用户A Like用户B，但B未Like A
-    // 调用发送消息接口 → 应返回403/禁止
-}
-
-// INV-003: Block优先级最高
-@Test
-void testBlockStopsAllInteractions() {
-    // A Block B后
-    // 验证B不在A的推荐中
-    // 验证A Like B后自动取消
-    // 验证A和B的Match自动解除
-}
-
-// INV-004: 双向并发Like只创建一个Match
-@Test
-void testConcurrentLikeCreatesOneMatch() {
-    // 线程A: A Like B
-    // 线程B: B Like A（并发）
-    // 验证只创建1个Match记录
-}
-
-// INV-005: 活动名额不超卖
-@Test
-void testActivityCapacityNotOversold() {
-    // 活动剩余1个名额
-    // 线程A和线程B同时报名
-    // 验证只有1人成功，1人被拒绝
-}
-
-// INV-006: 单向活动意向不泄露
-@Test
-void testActivityInterestNotDisclosed() {
-    // A选择B，但B没选A
-    // 验证B的查询结果中看不到A的选择
-}
-
-// INV-007: 红娘不能替用户Like
-@Test
-void testMatchmakerCannotLikeForUser() {
-    // 红娘角色调用Like接口 → 应返回403
-}
-
-// INV-008: 非授权Operator不能读取身份证
-@Test
-void testUnauthorizedOperatorCannotViewIdCard() {
-    // reviewer角色调用敏感身份查看接口 → 应返回403
-}
-
-// INV-009: 非案件上下文不能读取聊天
-@Test
-void testNoChatAccessOutsideCaseContext() {
-    // risk_operator无案件授权调用聊天记录 → 应返回403
-}
-
-// INV-010: 跨Organization不能越权
-@Test
-void testCrossOrgCannotAccess() {
-    // Organization A的用户，不能访问Organization B的数据
-}
-```
-
-**注意**: 测试应使用真实数据库（集成测试模式），通过 `@SpringBootTest` + Testcontainers 或指定测试数据库。
-
----
-
-### P1-2: PermissionMatrixTest 补充自动化验证
-
-**文件**: `backend/src/test/java/com/danyang/match/platform/invariants/PermissionMatrixTest.java`
-
-**问题**: 当前只有权限矩阵定义，没有实际API调用验证。
-
-**需要实现**:
-
-```java
-@Test
-void testPermissionMatrixAllRoles() {
-    // 遍历9个角色 × 18个权限
-    // 每个组合：
-    //   有权限 → 调用对应API → 应返回2xx
-    //   无权限 → 调用对应API → 应返回403
-}
-
-// 需要验证的角色：
-// super_admin, platform_admin, organization_admin,
-// reviewer, matchmaker, activity_manager,
-// risk_operator, volunteer, data_viewer
-
-// 需要验证的权限模块：
-// user.view, user.sensitive.view, user.status.change,
-// review.view, review.process,
-// matchmaker.view, matchmaker.assign, matchmaker.service,
-// activity.view, activity.create, activity.review_registration,
-// risk.report.view, risk.report.process, risk.user.ban,
-// organization.manage, permission.manage,
-// analytics.view, data.export
-```
-
-**验证方式**: 通过 `MockMvc` 或 `RestAssured` 调用管理端API，使用不同角色的JWT Token认证。
-
----
-
-### P1-3: 补全 Phase 23 系统测试完成报告
-
-**文件**: `docs/Phase-23-Completion-Report.md`
-
-**问题**: Phase 23（系统测试）缺少完成报告。
-
-**需要包含**:
-- 执行的测试类型和数量
-- 测试结果（通过/失败/阻塞）
-- 安全测试结果（SQL注入/XSS/CSRF等）
-- 并发测试结果
-- 发现的问题和修复情况
-
----
-
-### P1-4: 清理 CHANGELOG.md 重复内容
-
-**文件**: `CHANGELOG.md`
-
-**问题**: 文件大小3.3MB，存在大量重复条目（同一个Phase变更被复制数十次）。
-
-**操作**:
-1. 去重，保留每项变更的唯一记录
-2. 按版本（v1.0.0-rc.1, v1.0.0）组织
-3. 文件压缩到合理大小（目标 < 100KB）
-
----
-
-## P2 — 建议完成（非阻塞）
-
-### P2-1: AccountLifecycle 注销联动完善
-
-**现状**: 代码已实现，STATUS.md 标记为TODO。
-
-**验证**: 确认注销后以下联动正确：
-- 推荐停止
-- 聊天停止（新消息禁止）
-- 红娘服务停止
-- 活动处理（未开始的按规则）
-- 历史关系保留但标记为已注销
-
----
-
-### P2-2: PhotoService Presigned URL 实现
-
-**现状**: 代码骨架存在，功能未完整实现。
-
-**需要完成**:
-- `PhotoService` 生成 MinIO Presigned URL
-- 上传凭证接口 `POST /me/photos/upload-token`
-- 下载凭证接口（私有图片访问）
-- EXIF信息清理逻辑
-
----
-
-### P2-3: WebSocket 在线状态管理
-
-**现状**: 骨架实现。
-
-**需要完善**:
-- 用户在线/离线状态跟踪
-- 消息送达状态（已发送/已读）
-- WebSocket 重连后的状态恢复
-- 通知推送（`notification.new` 事件）
-
----
-
-## 执行顺序建议
-
-```
-1. P0-1 (产品确认) → 产品负责人
-2. P0-2 (隐私政策) → 产品/法务
-3. P0-3 (PIA记录)  → 安全负责人
-4. P1-1 (Invariants测试) → 研发
-5. P1-2 (权限矩阵测试) → 研发
-6. P1-3 (Phase23报告) → 研发
-7. P1-4 (CHANGELOG) → 研发
-8. P0-4 (微信审核) → 产品
-9. P0-5 (SSL/DNS) → 运维
-10. P2-1 ~ P2-3 → 研发（可并行）
-```
-
----
-
-## 验收标准
-
-每项完成后应满足：
-
-| 项目 | 验收条件 |
-|---|---|
-| P0-1 | 16项全部产品确认，配置正确，文档更新 |
-| P0-2 | 隐私政策文本在 `docs/legal/` 中，链接正确 |
-| P0-3 | PIA.md 存在，覆盖全部9个场景 |
-| P1-1 | CoreInvariantsTest 10个用例全部包含真实业务逻辑 |
-| P1-2 | PermissionMatrixTest 9×18全部覆盖，实际调用验证 |
-| P1-3 | Phase-23-Completion-Report.md 存在且内容完整 |
-| P1-4 | CHANGELOG.md < 100KB，无重复条目 |
-| P0-4 | 微信审核提交并通过 |
-| P0-5 | HTTPS正常，证书有效 |
-
----
-
-*最后更新: 2026-09-01*
+*最后更新: 2026-09-18 — 按实测重写（原文 2026-09-01，含 3 处与实际不符的陈述）*

REST API 接口详细设计规范.md

@@ -1,3 +1,8 @@
+> **⚠️ 部分取代（2026-09-18 头注）**：本文件为 V1.0 REST API 全量规范。V1.1 增量（Banner、
+> 服务站、预约、咨询、本地资格、首页聚合等）以 `docs/善缘丹阳 V1.1 数据库与API增量设计.md` 为准，
+> 路径收敛以 `docs/api/API_INVENTORY.md` 为准。本文件仍是后端代码注释与契约测试援引的协议出处
+> （如 WebSocket 事件信封第 125 章），该部分继续有效。
+
 # 丹阳公益婚恋服务平台
 # V1.0 REST API 接口详细设计规范
 

VERSION

@@ -1 +1 @@
-1.1.0-RC.1
+1.1.0

WorkBuddy开发执行总指令、项目规则与任务拆解.md

@@ -1,3 +1,7 @@
+> **⚠️ 已被取代（2026-09-18 头注）**：本文件为 V1.0 项目规则总纲（333 章），最高执行文件已由
+> `docs/善缘丹阳 V1.1 WorkBuddy最终主启动提示词（整合版）.md` 取代；V1.0 核心规则中仍生效的
+> 部分已摘要进 `AGENTS.md`。本文件保留原位（`AGENTS_SUMMARY.md` 与历史报告仍援引），其余内容不再生效。
+
 # 丹阳公益婚恋服务平台
 # V1.0 WorkBuddy开发执行总指令、项目规则与任务拆解
 

WorkBuddy首轮启动提示词 + Phase 01～Phase 26 Jira级任务清单 + 每阶段验收条件.md

@@ -1,3 +1,8 @@
+> **⚠️ 已被取代（2026-09-18 头注）**：本文件为 V1.0 首轮启动提示词，最高执行文件已由
+> `docs/善缘丹阳 V1.1 WorkBuddy最终主启动提示词（整合版）.md` 取代；V1.1 需求以 `AGENTS.md`
+> 点名的六份修订文档为准。本文件保留原位，仅作为 V1.0 规则来源与 Phase Gate 行号出处
+> （`docs/Phase-XX-V11-Recovery-*` 报告援引）被继续引用，其余内容不再生效。
+
 # 丹阳公益婚恋服务平台
 # WorkBuddy首轮启动提示词 + Phase 01～Phase 26 Jira级任务清单 + 每阶段验收条件
 

admin-web/index.html

@@ -2,7 +2,11 @@
 <html lang="zh-CN">
   <head>
     <meta charset="UTF-8" />
-    <link rel="icon" type="image/svg+xml" href="/favicon.svg" />
+    <!-- 原指向一个 SVG 图标文件，但仓库内并不存在该文件（public/ 下只有 brand/），
+         属既有的 404；且以 / 开头的绝对路径不会随 vite base 变化，
+         在 /admin/ 子路径部署下即使补上文件也取不到。
+         改为指向已存在、且会被 vite 自动加上 base 前缀的品牌标。 -->
+    <link rel="icon" type="image/png" href="/brand/logo-mark.png" />
     <meta name="viewport" content="width=device-width, initial-scale=1.0" />
     <title>丹阳公益婚恋 - 运营管理后台</title>
   </head>

admin-web/nginx-admin.conf

@@ -15,9 +15,20 @@ server {
     add_header X-XSS-Protection "1; mode=block" always;
     add_header Referrer-Policy "strict-origin-when-cross-origin" always;
 
-    # SPA fallback
-    location / {
-        try_files $uri $uri/ /index.html;
+    # 根路径没有内容：管理端产物挂在 /admin/ 子路径下（构建 base=/admin/）。
+    # 显式 301 而不是返回 nginx 默认页或 404，避免"打开有东西但其实是别的页面"的假成功。
+    location = / {
+        return 301 /admin/;
+    }
+
+    # SPA：/admin/** 映射到产物根目录。
+    # 上游入口（生产 nginx、本地整套栈 nginx）都**不剥离** /admin 前缀地转发到本容器，
+    # 因此这里必须自己认识这个前缀。
+    # try_files 的兜底写成 URI（/admin/index.html）而不是文件路径：与 alias 配合时，
+    # 写文件路径会被再次拼接 alias 而失效 —— 这是 alias + try_files 的已知坑。
+    location /admin/ {
+        alias /usr/share/nginx/html/;
+        try_files $uri $uri/ /admin/index.html;
     }
 
     # API proxy to backend

admin-web/package.json

@@ -1,6 +1,6 @@
 {
   "name": "danyang-match-admin",
-  "version": "1.0.0-rc.2",
+  "version": "1.1.0",
   "private": true,
   "type": "module",
   "scripts": {

admin-web/pnpm-workspace.yaml

@@ -1,3 +1,27 @@
+# 本目录只有一个前端包，不是 pnpm workspace。
+#
+# 2026-09-22 修复背景：
+# 本文件原先只有两行 allowBuilds（esbuild / vue-demi），既没有 packages 声明，
+# 也没写实际取值。pnpm 一旦检测到工作目录下存在 pnpm-workspace.yaml，
+# 就会强制进入 workspace 模式，随后因读取不到 packages 而直接报错退出：
+#
+#     ERROR  packages field missing or empty
+#
+# 结果是 admin-web 的 `pnpm install --frozen-lockfile` 在任何环境都装不上依赖
+# （本地与 CI 表现一致），表现为 admin-web job 秒红，且与业务代码无关。
+#
+# allowBuilds 是 pnpm 10 才引入的配置项；pnpm 9 不认识它。这意味着
+# 「这个残缺文件是否被接受」取决于 runner 上的 pnpm 版本 —— 典型的版本漂移陷阱。
+# 因此这里显式声明单包 workspace，并在 CI 中锁死 pnpm 版本（见 .github/workflows/ci.yml），
+# 让「workspace 模式」与「只读 RFC2119 白名单」两条路径都不再受 runner 升级影响。
+#
+# esbuild 与 vue-demi 的 postinstall 是必需步骤（前者下载平台原生二进制，
+# 后者生成 Vue 版本桥接），允许它们执行。
+packages:
+  - '.'
 allowBuilds:
   esbuild: set this to true or false
   vue-demi: set this to true or false
+onlyBuiltDependencies:
+  - esbuild
+  - vue-demi

admin-web/src/api/client.ts

@@ -1,14 +1,18 @@
 import axios from 'axios'
 import { ElMessage } from 'element-plus'
 import router from '@/router'
+import { getAccessToken, setAccessToken, clearAccessToken } from '@/utils/token'
 
 const client = axios.create({
   baseURL: '/api/v1',
   timeout: 10000,
 })
 
+// 防止 401 时并发触发多次刷新
+let refreshing = false
+
 client.interceptors.request.use((config) => {
-  const token = localStorage.getItem('accessToken')
+  const token = getAccessToken()
   if (token) {
     config.headers.Authorization = `Bearer ${token}`
   }
@@ -17,11 +21,45 @@ client.interceptors.request.use((config) => {
 
 client.interceptors.response.use(
   (res) => res.data,
-  (err) => {
-    if (err.response?.status === 401) {
-      localStorage.removeItem('accessToken')
-      router.push('/login')
+  async (err) => {
+    const status = err.response?.status
+    const original = err.config
+    const isAuthEndpoint = !!original?.url?.includes('/auth/operator/')
+
+    // access token 过期：尝试用 HttpOnly refresh Cookie 静默刷新一次后重试原请求
+    // __retried 防止刷新后重试仍 401 时再次触发刷新，形成循环
+    if (status === 401 && !refreshing && !isAuthEndpoint && !(original as any)?.__retried) {
+      refreshing = true
+      try {
+        const resp: any = await client.post('/auth/operator/refresh', {})
+        if (resp?.success) {
+          const newToken = resp.data.accessToken
+          setAccessToken(newToken)
+          refreshing = false
+          ;(original as any).__retried = true
+          const headers = (original.headers || {}) as Record<string, string>
+          headers.Authorization = `Bearer ${newToken}`
+          original.headers = headers as any
+          return client(original)
+        }
+      } catch {
+        // 刷新失败：清除并跳登录
+      } finally {
+        refreshing = false
+      }
+      clearAccessToken()
       ElMessage.error('登录已过期，请重新登录')
+      router.push('/login')
+      return Promise.reject(err)
+    }
+
+    // 刷新/登录等鉴权端点自身 401：交由调用方处理文案，不全局弹窗跳转
+    if (status === 401) {
+      if (!isAuthEndpoint) {
+        clearAccessToken()
+        ElMessage.error('登录已过期，请重新登录')
+        router.push('/login')
+      }
     } else if (err.response?.data?.message) {
       ElMessage.error(err.response.data.message)
     } else {

admin-web/src/brand.ts

@@ -0,0 +1,14 @@
+// 品牌静态资源的运行时前缀。
+//
+// admin-web/public/ 下的文件不受 vite `base` 影响（无论 base 是什么，都会被原样复制到
+// 构建产物的根目录），因此 .vue 模板里若写死 `src="/brand/xxx.png"`，在产物部署于
+// /admin/ 子路径时，浏览器会去站点根路径请求，最终 404（表现为 logo / 登录插画裂图）。
+//
+// 结论：public/ 下的运行时引用必须显式带上 import.meta.env.BASE_URL。
+// 这里集中导出，避免每处各写一遍拼接而在改 base 时漏改。
+const BRAND_BASE = `${import.meta.env.BASE_URL}brand/`
+
+export const BRAND_LOGO = `${BRAND_BASE}logo-mark.png`
+export const BRAND_LOGIN_SCENE = `${BRAND_BASE}login-illustration.jpg`
+export const BRAND_ACTIVITY_FALLBACK = `${BRAND_BASE}activity-default.jpg`
+export const BRAND_BACKDROP = `${BRAND_BASE}admin-danyang-backdrop.jpg`

admin-web/src/layouts/MainLayout.vue

@@ -2,7 +2,7 @@
   <div class="admin-scene" :class="{ 'sidebar-collapsed': isCollapse }">
     <header class="scene-header" aria-label="善缘丹阳公益服务品牌信息">
       <div class="scene-brand">
-        <img src="/brand/logo-mark.png" alt="善缘丹阳" />
+        <img :src="BRAND_LOGO" alt="善缘丹阳" />
         <div class="scene-brand-copy">
           <strong>善缘丹阳</strong>
           <span>公益婚恋服务平台</span>
@@ -27,7 +27,7 @@
     <el-container class="admin-shell">
       <el-aside :width="isCollapse ? '76px' : '208px'" class="admin-sidebar">
         <div class="brand" :class="{ compact: isCollapse }">
-          <img class="brand-mark" src="/brand/logo-mark.png" alt="" />
+          <img class="brand-mark" :src="BRAND_LOGO" alt="" />
           <div v-if="!isCollapse" class="brand-copy">
             <strong>善缘丹阳</strong>
             <span>公益婚恋服务平台</span>
@@ -129,6 +129,7 @@
 
 <script setup lang="ts">
 import { computed, ref } from 'vue'
+import { BRAND_BACKDROP, BRAND_LOGO } from '@/brand'
 import { useRoute, useRouter } from 'vue-router'
 import { ElMessage } from 'element-plus'
 import {
@@ -260,18 +261,23 @@ function handleLogout() {
   min-height: 100vh;
   padding: 18px 34px 14px;
   overflow: hidden;
-  background: #fff7f7 url('/brand/admin-danyang-backdrop.jpg') center / cover fixed no-repeat;
+  /* 背景图是 public/ 下的运行时资源，必须带 BASE_URL 前缀：
+     写死品牌目录的绝对路径，在产物部署于 /admin/ 子路径时会 404（页面背景变纯色）。
+     用 v-bind 把常量注入 CSS，避免在样式里各写一遍拼接。 */
+  /* 先给纯色兜底，避免图未加载完成时闪白 */
+  background: var(--admin-coral-lighter) center / cover fixed no-repeat;
+  background-image: url(v-bind('BRAND_BACKDROP'));
 }
 
 .scene-header {
   display: grid;
-  max-width: 1840px;
+  max-width: var(--admin-shell-max-width);
   height: 188px;
   margin: 0 auto;
   grid-template-columns: minmax(640px, 1fr) auto;
   grid-template-rows: 112px 76px;
   align-items: center;
-  column-gap: 32px;
+  column-gap: var(--space-8);
 }
 
 .scene-brand,
@@ -290,23 +296,23 @@ function handleLogout() {
 
 .scene-slogan {
   display: flex;
-  padding-right: 24px;
+  padding-right: var(--space-6);
   align-items: flex-end;
   flex-direction: column;
-  color: var(--admin-coral);
-  font-family: KaiTi, STKaiti, serif;
+  color: var(--admin-coral-strong);
+  font-family: var(--font-family-brand);
   line-height: 1.05;
   transform: rotate(-7deg);
 }
 
 .scene-slogan span {
-  font-size: 17px;
+  font-size: var(--font-size-lg);
 }
 
 .scene-slogan strong {
-  margin-top: 4px;
-  font-size: 25px;
-  font-weight: 500;
+  margin-top: var(--space-1);
+  font-size: var(--font-size-3xl);
+  font-weight: var(--font-weight-medium);
 }
 
 .scene-brand-copy {
@@ -314,18 +320,18 @@ function handleLogout() {
   margin-left: 10px;
   align-items: flex-start;
   flex-direction: column;
-  color: var(--admin-coral);
+  color: var(--admin-coral-strong);
 }
 
 .scene-brand-copy strong {
-  font-size: 27px;
+  font-size: var(--font-size-4xl);
   line-height: 1.15;
   letter-spacing: 2px;
 }
 
 .scene-brand-copy span {
   margin-top: 5px;
-  font-size: 12px;
+  font-size: var(--font-size-xs);
   letter-spacing: 4px;
 }
 
@@ -333,18 +339,18 @@ function handleLogout() {
   min-width: 370px;
   margin-left: 28px;
   padding-left: 28px;
-  border-left: 1px solid rgba(244, 95, 104, 0.22);
+  border-left: 1px solid var(--admin-coral-border);
 }
 
 .scene-title h1 {
-  font-size: clamp(26px, 2.2vw, 38px);
+  font-size: clamp(var(--font-size-3xl), 2.2vw, var(--font-size-display));
   line-height: 1.1;
   letter-spacing: 1px;
 }
 
 .scene-title p {
   margin-top: 9px;
-  color: #66717a;
+  color: var(--color-text-secondary);
 }
 
 .scene-benefits {
@@ -352,40 +358,41 @@ function handleLogout() {
   align-self: start;
   justify-content: flex-start;
   gap: clamp(38px, 5vw, 92px);
-  padding: 4px 0 0 50px;
+  padding: var(--space-1) 0 0 50px;
 }
 
 .scene-benefits span {
   display: grid;
   grid-template-columns: 36px auto;
-  column-gap: 8px;
-  color: var(--admin-coral);
+  column-gap: var(--space-2);
+  /* 13px 文字压在摄影背景图上，必须用 -strong 档（5.13:1），基础色只有 3.14:1 */
+  color: var(--admin-coral-strong);
 }
 
 .scene-benefits .el-icon {
   grid-row: 1 / 3;
-  font-size: 30px;
+  font-size: var(--font-size-4xl);
 }
 
 .scene-benefits b {
-  font-size: 13px;
+  font-size: var(--font-size-sm);
 }
 
 .scene-benefits small {
   margin-top: 2px;
-  color: #7b7f86;
-  font-size: 10px;
+  color: var(--color-text-tertiary);
+  font-size: var(--font-size-micro);
   white-space: nowrap;
 }
 
 .admin-shell {
-  width: min(1840px, 100%);
+  width: min(var(--admin-shell-max-width), 100%);
   height: calc(100vh - 238px);
   min-height: 560px;
   margin: 0 auto;
   overflow: hidden;
   background: var(--admin-shell-bg);
-  border: 1px solid rgba(255, 255, 255, 0.9);
+  border: 1px solid var(--color-bg-overlay-strong);
   border-radius: var(--admin-shell-radius);
   box-shadow: var(--admin-shadow);
   backdrop-filter: blur(14px);
@@ -396,23 +403,23 @@ function handleLogout() {
   flex-direction: column;
   overflow: hidden;
   color: var(--admin-sidebar-text);
-  background: linear-gradient(180deg, #202d38 0%, #192733 100%);
-  border-right: 1px solid rgba(255, 255, 255, 0.06);
-  transition: width 0.2s ease;
+  background: var(--admin-sidebar-gradient);
+  border-right: 1px solid var(--admin-sidebar-hairline-soft);
+  transition: width var(--motion-normal) var(--ease-standard);
 }
 
 .brand {
   display: flex;
   height: 82px;
-  padding: 17px 16px;
+  padding: 17px var(--space-4);
   align-items: center;
   gap: 11px;
-  border-bottom: 1px solid rgba(255, 255, 255, 0.08);
+  border-bottom: 1px solid var(--admin-sidebar-hairline);
 }
 
 .brand.compact {
   justify-content: center;
-  padding: 16px 8px;
+  padding: var(--space-4) var(--space-2);
 }
 
 .brand-mark {
@@ -430,15 +437,15 @@ function handleLogout() {
 }
 
 .brand-copy strong {
-  color: #fff;
-  font-size: 17px;
+  color: var(--color-text-inverse);
+  font-size: var(--font-size-lg);
   letter-spacing: 1px;
 }
 
 .brand-copy span {
-  margin-top: 4px;
-  color: #b5c0c8;
-  font-size: 10px;
+  margin-top: var(--space-1);
+  color: var(--color-text-on-dark-muted);
+  font-size: var(--font-size-micro);
   letter-spacing: 1.5px;
 }
 
@@ -452,49 +459,54 @@ function handleLogout() {
   background: transparent;
 }
 
+/* 主导航行项：桌面密度下取 44px（兼顾触屏笔记本，且远高于 WCAG 2.5.8 的 24px 下限） */
 .sidebar-menu :deep(.el-menu-item) {
-  height: 41px;
+  height: var(--tap-min);
   margin: 2px 0;
   color: var(--admin-sidebar-text);
-  border-radius: 9px;
+  border-radius: var(--border-radius-sm);
+  transition: background var(--motion-fast) var(--ease-standard),
+              color var(--motion-fast) var(--ease-standard);
 }
 
 .sidebar-menu :deep(.el-menu-item:hover) {
-  color: #fff;
+  color: var(--color-text-inverse);
   background: var(--admin-sidebar-surface);
 }
 
+/* 激活态原先压的是明亮珊瑚渐变（#f45f68→#ee727b），白字只有 3.14:1；
+   改用达标渐变（两端 4.60:1 / 5.33:1）。 */
 .sidebar-menu :deep(.el-menu-item.is-active) {
-  color: #fff;
-  font-weight: 650;
-  background: linear-gradient(135deg, #f45f68, #ee727b);
-  box-shadow: 0 8px 18px rgba(244, 95, 104, 0.26);
+  color: var(--color-text-inverse);
+  font-weight: var(--font-weight-semibold);
+  background: var(--gradient-brand-solid);
+  box-shadow: var(--shadow-brand);
 }
 
 .sidebar-menu :deep(.el-icon) {
-  font-size: 17px;
+  font-size: var(--font-size-lg);
 }
 
 .sidebar-motto {
   display: flex;
-  margin: 8px 15px 2px;
-  padding: 14px 12px;
+  margin: var(--space-2) 15px 2px;
+  padding: 14px var(--space-3);
   align-items: center;
   gap: 11px;
-  color: #ff969c;
-  font-family: KaiTi, STKaiti, serif;
-  font-size: 15px;
+  color: var(--admin-coral-on-dark);
+  font-family: var(--font-family-brand);
+  font-size: var(--font-size-md);
   line-height: 1.45;
-  border-top: 1px solid rgba(255, 255, 255, 0.08);
+  border-top: 1px solid var(--admin-sidebar-hairline);
 }
 
 .sidebar-motto .el-icon {
-  font-size: 31px;
+  font-size: var(--font-size-4xl);
 }
 
 .collapse-control {
   display: flex;
-  height: 42px;
+  min-height: var(--tap-min);
   margin: 2px 10px 10px;
   align-items: center;
   justify-content: center;
@@ -503,10 +515,14 @@ function handleLogout() {
   cursor: pointer;
   background: transparent;
   border: 0;
+  border-radius: var(--border-radius-sm);
+  transition: color var(--motion-fast) var(--ease-standard),
+              background var(--motion-fast) var(--ease-standard);
 }
 
 .collapse-control:hover {
-  color: #fff;
+  color: var(--color-text-inverse);
+  background: var(--admin-sidebar-surface);
 }
 
 .workspace {
@@ -515,12 +531,12 @@ function handleLogout() {
 
 .admin-topbar {
   display: flex;
-  height: 64px;
-  padding: 0 24px;
+  height: var(--header-height);
+  padding: 0 var(--space-6);
   align-items: center;
   justify-content: space-between;
-  background: rgba(255, 255, 255, 0.96);
-  border-bottom: 1px solid #edf0f2;
+  background: var(--color-bg-overlay-strong);
+  border-bottom: 1px solid var(--color-border-light);
 }
 
 .page-context,
@@ -532,15 +548,18 @@ function handleLogout() {
 
 .page-context {
   min-width: 180px;
-  gap: 12px;
+  gap: var(--space-3);
 }
 
 .mobile-collapse {
   display: none;
-  color: #56616a;
+  min-width: var(--tap-icon);
+  min-height: var(--tap-icon);
+  color: var(--color-text-secondary);
   cursor: pointer;
   background: transparent;
   border: 0;
+  border-radius: var(--border-radius-sm);
 }
 
 .header-tools {
@@ -552,57 +571,59 @@ function handleLogout() {
 }
 
 .global-search :deep(.el-input__wrapper) {
-  background: #f6f7f8;
-  border-radius: 9px;
-  box-shadow: inset 0 0 0 1px #e8eaed;
+  background: var(--color-bg-input);
+  border-radius: var(--border-radius-sm);
+  box-shadow: inset 0 0 0 1px var(--color-border);
 }
 
 .notification-button {
   position: relative;
   display: grid;
-  width: 36px;
-  height: 36px;
-  color: #4f5b65;
+  width: var(--tap-icon);
+  height: var(--tap-icon);
+  color: var(--color-text-secondary);
   cursor: pointer;
   background: transparent;
   border: 0;
-  border-radius: 9px;
+  border-radius: var(--border-radius-sm);
   place-items: center;
+  transition: background var(--motion-fast) var(--ease-standard);
 }
 
 .notification-button:hover {
-  background: #f6f7f8;
+  background: var(--color-bg-input);
 }
 
+/* 角标字号原为 9px（低于可读下限），提到 11px，容器同步放大以容纳 */
 .notification-badge {
   position: absolute;
   top: 2px;
   right: 1px;
-  min-width: 15px;
-  height: 15px;
+  min-width: var(--space-4);
+  height: var(--space-4);
   padding: 0 3px;
-  color: #fff;
-  font-size: 9px;
-  line-height: 15px;
+  color: var(--color-text-inverse);
+  font-size: var(--font-size-micro);
+  line-height: var(--space-4);
   text-align: center;
-  background: var(--admin-coral);
-  border-radius: 999px;
+  background: var(--admin-coral-solid);
+  border-radius: var(--border-radius-pill);
 }
 
 .user-info {
-  gap: 8px;
+  gap: var(--space-2);
   cursor: pointer;
 }
 
 .user-info .el-avatar {
-  color: #fff;
-  background: var(--admin-coral);
+  color: var(--color-text-inverse);
+  background: var(--admin-coral-solid);
 }
 
 .user-info strong {
   max-width: 92px;
   overflow: hidden;
-  font-size: 13px;
+  font-size: var(--font-size-sm);
   text-overflow: ellipsis;
   white-space: nowrap;
 }
@@ -610,27 +631,28 @@ function handleLogout() {
 .admin-content {
   padding: 0;
   overflow: auto;
-  background: var(--admin-page-bg);
+  background: var(--color-bg-page);
 }
 
 .scene-footer {
   display: flex;
-  max-width: 1840px;
-  height: 32px;
+  max-width: var(--admin-shell-max-width);
+  height: var(--space-8);
   margin: 0 auto;
   align-items: flex-end;
   gap: 10px;
-  color: #8d8587;
-  font-size: 11px;
+  color: var(--color-text-tertiary);
+  font-size: var(--font-size-micro);
 }
 
 .scene-footer strong {
-  color: var(--admin-coral);
-  font-size: 14px;
+  color: var(--admin-coral-strong);
+  font-size: var(--font-size-base);
 }
 
 .scene-footer small {
   margin-left: auto;
+  font-size: var(--font-size-micro);
   letter-spacing: 4px;
 }
 
@@ -648,15 +670,15 @@ function handleLogout() {
   }
 
   .scene-slogan {
-    padding-right: 12px;
+    padding-right: var(--space-3);
   }
 
   .scene-slogan span {
-    font-size: 14px;
+    font-size: var(--font-size-base);
   }
 
   .scene-slogan strong {
-    font-size: 20px;
+    font-size: var(--font-size-2xl);
   }
 
   .scene-brand > img {
@@ -665,7 +687,7 @@ function handleLogout() {
   }
 
   .scene-brand-copy strong {
-    font-size: 22px;
+    font-size: var(--font-size-2xl);
   }
 
   .scene-title {
@@ -674,8 +696,9 @@ function handleLogout() {
     padding-left: 18px;
   }
 
+  /* 紧凑态下正文标题略大于品牌字号，层级保持「页面 → 品牌」的正确指向 */
   .scene-title h1 {
-    font-size: 27px;
+    font-size: var(--font-size-3xl);
   }
 
   .scene-benefits {
@@ -702,7 +725,7 @@ function handleLogout() {
   }
 
   .admin-sidebar {
-    width: 76px !important;
+    width: var(--sidebar-width-collapsed) !important;
   }
 
   .brand-copy,
@@ -736,7 +759,7 @@ function handleLogout() {
   }
 
   .admin-topbar {
-    padding: 0 12px;
+    padding: 0 var(--space-3);
   }
 }
 </style>

admin-web/src/modules/activity/ActivityCheckinView.vue

@@ -80,6 +80,7 @@
 </template>
 
 <script setup lang="ts">
+import { getAccessToken } from '@/utils/token'
 /**
  * U32 活动签到工作台（Phase 15）
  *
@@ -111,7 +112,7 @@ const TYPE_TEXT: Record<string, string> = {
 }
 const typeText = (t: string) => TYPE_TEXT[t] || t || '未分类'
 
-const authHeader = () => ({ Authorization: `Bearer ${localStorage.getItem('accessToken') || ''}` })
+const authHeader = () => ({ Authorization: `Bearer ${getAccessToken() || ''}` })
 
 const formatTime = (v: any) => {
   if (!v) return '-'
@@ -183,13 +184,13 @@ onMounted(loadActivities)
 }
 .form-hint {
   margin-top: 8px;
-  color: #909399;
-  font-size: 12px;
+  color: var(--color-text-placeholder);
+  font-size: var(--font-size-xs);
 }
 .opt-type {
   float: right;
-  color: #909399;
-  font-size: 12px;
+  color: var(--color-text-placeholder);
+  font-size: var(--font-size-xs);
 }
 .result-card {
   margin-top: 12px;

admin-web/src/modules/activity/ActivityInterestView.vue

@@ -42,6 +42,7 @@
 </template>
 
 <script setup lang="ts">
+import { getAccessToken } from '@/utils/token'
 import { ref, onMounted } from 'vue'
 import { get } from '@/api/client'
 
@@ -55,7 +56,7 @@ const mutualList = ref<any[]>([])
 async function loadData() {
   loading.value = true
   try {
-    const token = localStorage.getItem('accessToken')
+    const token = getAccessToken()
     const res: any = await get('/activities/operator/activity-interest-summary', {}, { Authorization: `Bearer ${token}` })
     const rows = res.data || []
     tableData.value = searchActivityId.value
@@ -72,7 +73,7 @@ async function viewMutuals(activityId: string) {
   drawerVisible.value = true
   currentActivity.value = tableData.value.find(row => row.activityId === activityId)
   try {
-    const token = localStorage.getItem('accessToken')
+    const token = getAccessToken()
     const mutualRes: any = await get(`/activities/operator/${activityId}/mutuals`, {}, { Authorization: `Bearer ${token}` })
     mutualList.value = mutualRes.data || []
   } catch (e) {

admin-web/src/modules/activity/ActivityManagementView.vue

@@ -168,6 +168,7 @@
 </template>
 
 <script setup lang="ts">
+import { getAccessToken } from '@/utils/token'
 /**
  * 活动管理（V1.1 Phase 14）
  *
@@ -259,7 +260,7 @@ function emptyForm() {
 }
 
 function authHeader() {
-  return { Authorization: `Bearer ${localStorage.getItem('accessToken')}` }
+  return { Authorization: `Bearer ${getAccessToken()}` }
 }
 
 async function loadData() {
@@ -434,8 +435,8 @@ onMounted(() => {
 }
 .form-hint {
   margin-top: 4px;
-  color: #8a90a2;
-  font-size: 12px;
+  color: var(--color-text-placeholder);
+  font-size: var(--font-size-xs);
   line-height: 1.5;
 }
 .partner-row {

admin-web/src/modules/analytics/AnalyticsView.vue

@@ -213,8 +213,10 @@
 </template>
 
 <script setup lang="ts">
-import { ref, onMounted } from 'vue'
+import { getAccessToken } from '@/utils/token'
+import { ref, computed, onMounted } from 'vue'
 import { get } from '@/api/client'
+import { token } from '@/theme/tokens'
 
 const loading = ref(false)
 const dateRange = ref<[string, string]>([
@@ -227,87 +229,108 @@ const safetyStats = ref<any>({})
 const v11 = ref<any>({})
 const dailySummary = ref<any[]>([])
 
-const funnelStages = [
-  { key: 'registered', label: '累计注册', value: 0, rate: null as string | null, color: '#409EFF' },
-  { key: 'verified', label: '已实名', value: 0, rate: null as string | null, color: '#67C23A' },
-  { key: 'approved', label: '审核通过', value: 0, rate: null as string | null, color: '#E59A32' },
-  { key: 'active', label: '7日活跃', value: 0, rate: null as string | null, color: '#E96B6B' }
-]
+// 漏斗卡与安全卡一律**派生自上面的 ref**，不再各自持有一份可变副本。
+//
+// 历史缺陷（2026-09-23 渲染态实测发现）：这三组曾是 `const x = [...]` 普通数组，
+// loadFunnel() 直接对元素赋值（`x[0].value = ...`），模板读的却是同一个数组 ——
+// 非响应式写入不触发重渲染，于是卡片恒显示 0，而同一张卡里的汇总表（走 ref）
+// 显示 12846/9217/8462/3812，界面自相矛盾。
+// 改为 computed 派生后两者同源，结构上不可能再对不上。
+const funnelStages = computed(() => [
+  {
+    key: 'registered', label: '累计注册',
+    value: funnelStats.value.totalRegistered || 0,
+    rate: null as string | null, color: token('--color-info')
+  },
+  {
+    key: 'verified', label: '已实名',
+    value: funnelStats.value.verifiedCount || 0,
+    rate: funnelStats.value.verifyRate || '-', color: token('--color-success')
+  },
+  {
+    key: 'approved', label: '审核通过',
+    value: funnelStats.value.profileApproved || 0,
+    rate: funnelStats.value.approvalRate || '-', color: token('--color-warning')
+  },
+  {
+    key: 'active', label: '7日活跃',
+    value: funnelStats.value.activeUsers || 0,
+    rate: funnelStats.value.activeRate || '-', color: token('--color-primary')
+  }
+])
 
-const matchStages = [
-  { key: 'recommended', label: '推荐', value: 0, rate: '-', color: '#409EFF' },
-  { key: 'liked', label: '喜欢', value: 0, rate: '-', color: '#67C23A' },
-  { key: 'matches', label: 'Match', value: 0, rate: '-', color: '#E59A32' },
-  { key: 'chats', label: '聊天', value: 0, rate: '-', color: '#909399' },
-  { key: 'knowing', label: '了解中', value: 0, rate: '-', color: '#E96B6B' },
-  { key: 'success', label: '成功牵手', value: 0, rate: '-', color: '#F56C6C' }
-]
+const matchStages = computed(() => [
+  {
+    key: 'recommended', label: '推荐',
+    value: matchFunnelStats.value.totalRecommended || 0,
+    rate: '-', color: token('--color-info')
+  },
+  {
+    key: 'liked', label: '喜欢',
+    value: matchFunnelStats.value.totalLiked || 0,
+    rate: matchFunnelStats.value.likeRate || '-', color: token('--color-success')
+  },
+  {
+    key: 'matches', label: 'Match',
+    value: matchFunnelStats.value.totalMatches || 0,
+    rate: matchFunnelStats.value.matchRate || '-', color: token('--color-warning')
+  },
+  {
+    key: 'chats', label: '聊天',
+    value: matchFunnelStats.value.chatsStarted || 0,
+    rate: matchFunnelStats.value.chatRate || '-', color: token('--color-neutral')
+  },
+  {
+    key: 'knowing', label: '了解中',
+    value: matchFunnelStats.value.gettingToKnow || 0,
+    rate: '-', color: token('--color-primary')
+  },
+  {
+    key: 'success', label: '成功牵手',
+    value: matchFunnelStats.value.successPairs || 0,
+    rate: matchFunnelStats.value.successRate || '-', color: token('--color-danger')
+  }
+])
 
-const safetyCards = [
-  { key: 'pending', label: '待处理举报', value: 0, color: '#E96B6B' },
-  { key: 'resolved', label: '已处理举报', value: 0, color: '#67C23A' },
-  { key: 'highRisk', label: '高风险用户', value: 0, color: '#E59A32' },
-  { key: 'banned', label: '封禁用户', value: 0, color: '#F56C6C' }
-]
+const safetyCards = computed(() => [
+  { key: 'pending', label: '待处理举报', value: safetyStats.value.pendingReports || 0, color: token('--color-primary') },
+  { key: 'resolved', label: '已处理举报', value: safetyStats.value.resolvedReports || 0, color: token('--color-success') },
+  { key: 'highRisk', label: '高风险用户', value: safetyStats.value.highRiskUsers || 0, color: token('--color-warning') },
+  { key: 'banned', label: '封禁用户', value: safetyStats.value.bannedUsers || 0, color: token('--color-danger') }
+])
 
 async function loadFunnel() {
   try {
-    const token = localStorage.getItem('accessToken')
+    // 注意：这里曾是 `const token = ...`，与顶部从 @/theme/tokens 导入的**颜色助手**
+    // `token` 同名（函数内遮蔽）。现已改名 authToken，避免后续在函数内误用颜色助手。
+    const authToken = getAccessToken()
     if (dateRange.value[0] && dateRange.value[1]) {
       const [userRes, matchRes, safetyRes, v11Res]: any[] = await Promise.all([
         get('/operator/analytics/user-funnel', {
           since: dateRange.value[0], until: dateRange.value[1]
-        }, { Authorization: `Bearer ${token}` }),
+        }, { Authorization: `Bearer ${authToken}` }),
         get('/operator/analytics/match-funnel', {
           since: dateRange.value[0], until: dateRange.value[1]
-        }, { Authorization: `Bearer ${token}` }),
-        get('/operator/analytics/safety', {}, { Authorization: `Bearer ${token}` }),
+        }, { Authorization: `Bearer ${authToken}` }),
+        get('/operator/analytics/safety', {}, { Authorization: `Bearer ${authToken}` }),
         // Phase 20：原先只接了 4/15 个端点，V1.1 公益服务的专项统计
         // （服务用户数/人次、活动互选 vs 成功、Banner、专项项目）
         // 后端已实现却无人调用 —— 本行起补齐。
-        get('/operator/analytics/v11-dashboard', {}, { Authorization: `Bearer ${token}` })
+        get('/operator/analytics/v11-dashboard', {}, { Authorization: `Bearer ${authToken}` })
       ])
-      const userData = userRes.data || {}
-      const matchData = matchRes.data || {}
-      const safetyData = safetyRes.data || {}
-      const v11Data = v11Res.data || {}
-      funnelStats.value = userData
-      matchFunnelStats.value = matchData
-      safetyStats.value = safetyData
-      v11.value = v11Data
-
-      // 更新漏斗显示
-      funnelStages[0].value = userData.totalRegistered || 0
-      funnelStages[1].value = userData.verifiedCount || 0
-      funnelStages[1].rate = userData.verifyRate || '-'
-      funnelStages[2].value = userData.profileApproved || 0
-      funnelStages[2].rate = userData.approvalRate || '-'
-      funnelStages[3].value = userData.activeUsers || 0
-      funnelStages[3].rate = userData.activeRate || '-'
-
-      matchStages[0].value = matchData.totalRecommended || 0
-      matchStages[1].value = matchData.totalLiked || 0
-      matchStages[1].rate = matchData.likeRate || '-'
-      matchStages[2].value = matchData.totalMatches || 0
-      matchStages[2].rate = matchData.matchRate || '-'
-      matchStages[3].value = matchData.chatsStarted || 0
-      matchStages[3].rate = matchData.chatRate || '-'
-      matchStages[4].value = matchData.gettingToKnow || 0
-      matchStages[5].value = matchData.successPairs || 0
-      matchStages[5].rate = matchData.successRate || '-'
-
-      safetyCards[0].value = safetyData.pendingReports || 0
-      safetyCards[1].value = safetyData.resolvedReports || 0
-      safetyCards[2].value = safetyData.highRiskUsers || 0
-      safetyCards[3].value = safetyData.bannedUsers || 0
+      // 只落 ref，卡片由上面三个 computed 自动派生 —— 不再手工同步第二份副本。
+      funnelStats.value = userRes.data || {}
+      matchFunnelStats.value = matchRes.data || {}
+      safetyStats.value = safetyRes.data || {}
+      v11.value = v11Res.data || {}
     }
   } catch (e) { console.error(e) }
 }
 
 async function loadDailySummary() {
   try {
-    const token = localStorage.getItem('accessToken')
-    const res: any = await get('/operator/analytics/daily-summary', { days: 30 }, { Authorization: `Bearer ${token}` })
+    const authToken = getAccessToken()
+    const res: any = await get('/operator/analytics/daily-summary', { days: 30 }, { Authorization: `Bearer ${authToken}` })
     dailySummary.value = res.data || []
   } catch (e) { console.error(e) }
 }
@@ -329,21 +352,21 @@ onMounted(loadData)
   padding: 20px;
   text-align: center;
 }
-.funnel-label { font-size: 14px; color: #666; margin-bottom: 8px; }
-.funnel-value { font-size: 28px; font-weight: bold; color: #333; }
-.funnel-rate { font-size: 12px; color: #999; margin-top: 4px; }
+.funnel-label { font-size: var(--font-size-base); color: var(--color-text-tertiary); margin-bottom: 8px; }
+.funnel-value { font-size: var(--font-size-4xl); font-weight: var(--font-weight-bold); color: var(--color-text-primary); }
+.funnel-rate { font-size: var(--font-size-xs); color: var(--color-text-placeholder); margin-top: 4px; }
 .stat-card { text-align: center; }
-.stat-value { font-size: 32px; font-weight: bold; }
-.stat-label { font-size: 13px; color: #666; margin-top: 6px; }
+.stat-value { font-size: var(--font-size-5xl); font-weight: var(--font-weight-bold); }
+.stat-label { font-size: var(--font-size-sm); color: var(--color-text-tertiary); margin-top: 6px; }
 .mini-stat {
-  border: 1px solid #ebeef5;
+  border: 1px solid var(--color-border-light);
   border-radius: 8px;
   padding: 14px;
   text-align: center;
-  background: #fafafa;
+  background: var(--color-bg-secondary);
 }
-.mini-value { font-size: 22px; font-weight: bold; color: #303133; }
-.mini-label { font-size: 12px; color: #909399; margin-top: 6px; }
-.metric-note { font-size: 12px; color: #909399; margin-top: 12px; line-height: 1.6; }
-.unavailable { color: #c0c4cc; font-style: italic; }
+.mini-value { font-size: var(--font-size-3xl); font-weight: var(--font-weight-bold); color: var(--color-text-primary); }
+.mini-label { font-size: var(--font-size-xs); color: var(--color-text-placeholder); margin-top: 6px; }
+.metric-note { font-size: var(--font-size-xs); color: var(--color-text-placeholder); margin-top: 12px; line-height: 1.6; }
+.unavailable { color: var(--color-text-disabled); font-style: italic; }
 </style>

admin-web/src/modules/appeal/AppealCenterView.vue

@@ -60,7 +60,7 @@
         </el-descriptions>
 
         <template v-if="detail.status==='pending'||detail.status==='reviewing'||detail.status==='escalated'">
-          <h4 style="margin:20px 0 12px;color:#E96B6B">审核决策</h4>
+          <h4 style="margin:20px 0 12px;color:var(--admin-coral-strong)">审核决策</h4>
           <el-form label-width="100px">
             <el-form-item label="处理结果">
               <el-select v-model="decision" style="width:100%">
@@ -84,8 +84,10 @@
 </template>
 
 <script setup lang="ts">
+import { getAccessToken } from '@/utils/token'
 import { ref, onMounted } from 'vue'
 import { get, post } from '@/api/client'
+import { token as tokenColor } from '@/theme/tokens'
 
 const loading = ref(false)
 const processing = ref(false)
@@ -108,7 +110,7 @@ const STATUS_MAP: Record<string, { text: string; type: string }> = {
 async function loadData() {
   loading.value = true
   try {
-    const token = localStorage.getItem('accessToken')
+    const token = getAccessToken()
     const res: any = await get('/operator/appeals/pending', {}, { Authorization: `Bearer ${token}` })
     tableData.value = res.data || []
     loadStats()
@@ -118,15 +120,15 @@ async function loadData() {
 
 async function loadStats() {
   try {
-    const token = localStorage.getItem('accessToken')
+    const token = getAccessToken()
     const res: any = await get('/operator/appeals/stats', {}, { Authorization: `Bearer ${token}` })
     const data = res.data || {}
     stats.value = [
-      { key: 'pending', label: '待审核', value: data.pendingCount || 0, color: '#E96B6B' },
-      { key: 'reviewing', label: '审核中', value: data.reviewingCount || 0, color: '#E59A32' },
-      { key: 'approved', label: '已通过', value: data.approvedCount || 0, color: '#67C23A' },
-      { key: 'rejected', label: '已驳回', value: data.rejectedCount || 0, color: '#909399' },
-      { key: 'escalated', label: '已升级', value: data.escalatedCount || 0, color: '#F56C6C' }
+      { key: 'pending', label: '待审核', value: data.pendingCount || 0, color: tokenColor('--color-primary') },
+      { key: 'reviewing', label: '审核中', value: data.reviewingCount || 0, color: tokenColor('--color-warning') },
+      { key: 'approved', label: '已通过', value: data.approvedCount || 0, color: tokenColor('--color-success') },
+      { key: 'rejected', label: '已驳回', value: data.rejectedCount || 0, color: tokenColor('--color-neutral') },
+      { key: 'escalated', label: '已升级', value: data.escalatedCount || 0, color: tokenColor('--color-danger') }
     ]
   } catch {}
 }
@@ -137,7 +139,7 @@ async function openDetail(id: string) {
   decision.value = 'approve'
   decisionNote.value = ''
   try {
-    const token = localStorage.getItem('accessToken')
+    const token = getAccessToken()
     const res: any = await get(`/operator/appeals/${id}`, {}, { Authorization: `Bearer ${token}` })
     detail.value = res.data
   } catch (e) { console.error(e) }
@@ -147,7 +149,7 @@ async function handleProcess() {
   if (!decision.value) return
   processing.value = true
   try {
-    const token = localStorage.getItem('accessToken')
+    const token = getAccessToken()
     await post(`/operator/appeals/${currentId.value}/process`,
       { decision: decision.value, decisionNote: decisionNote.value },
       { Authorization: `Bearer ${token}` })
@@ -168,8 +170,8 @@ onMounted(loadData)
 <style scoped>
 .page-container { padding: 24px; }
 .stat-card { text-align: center; }
-.stat-value { font-size: 32px; font-weight: bold; color: #409EFF; }
-.stat-label { font-size: 13px; color: #666; margin-top: 6px; }
+.stat-value { font-size: var(--font-size-5xl); font-weight: var(--font-weight-bold); color: var(--admin-coral-strong); }
+.stat-label { font-size: var(--font-size-sm); color: var(--color-text-tertiary); margin-top: 6px; }
 .card-header { display: flex; justify-content: space-between; align-items: center; }
-.text-muted { color: #BBB; font-size: 13px; }
+.text-muted { color: var(--color-text-disabled); font-size: var(--font-size-sm); }
 </style>

admin-web/src/modules/audit/AuditLogView.vue

@@ -38,6 +38,7 @@
 </template>
 
 <script setup lang="ts">
+import { getAccessToken } from '@/utils/token'
 import { ref, onMounted } from 'vue'
 import { get } from '@/api/client'
 
@@ -70,7 +71,7 @@ const ACTION_TEXT: Record<string, string> = {
 async function loadData() {
   loading.value = true
   try {
-    const token = localStorage.getItem('accessToken')
+    const token = getAccessToken()
     const res: any = await get('/operator/audit/logs', {
       resourceType: resourceFilter.value || undefined,
       page: page.value,

admin-web/src/modules/banner/BannerManagementView.vue

@@ -302,21 +302,21 @@ onMounted(loadBanners)
 <style scoped>
 .card-header { display: flex; justify-content: space-between; align-items: center; }
 .field-hint { width: 100%; font-size: 12px; color: var(--el-text-color-secondary); line-height: 1.5; }
-.preview-stage { padding: 20px; background: #f5f6f8; border-radius: 12px; }
+.preview-stage { padding: 20px; background: var(--color-bg-subtle); border-radius: 12px; }
 .preview-card {
   padding: 20px 18px;
   border-radius: 16px;
-  background: linear-gradient(135deg, #ffe9df, #fff7f2);
+  background: var(--gradient-brand-soft); /* 还原消费端 Banner 预览底色 */
   box-shadow: 0 6px 16px rgba(200, 120, 100, 0.16);
 }
 .preview-tag {
   display: inline-block; padding: 2px 10px; border-radius: 999px;
-  background: rgba(255, 255, 255, 0.85); color: #c8553d; font-size: 12px;
+  background: var(--color-bg-overlay); color: var(--admin-coral-strong); font-size: var(--font-size-xs);
 }
-.preview-title { margin-top: 10px; font-size: 17px; font-weight: 700; color: #2c2c34; }
-.preview-subtitle { margin-top: 6px; font-size: 12px; line-height: 1.6; color: #6b6b78; }
+.preview-title { margin-top: 10px; font-size: var(--font-size-xl); font-weight: var(--font-weight-bold); color: var(--color-text-primary); }
+.preview-subtitle { margin-top: 6px; font-size: var(--font-size-xs); line-height: 1.6; color: var(--color-text-tertiary); }
 .preview-button {
   display: inline-block; margin-top: 14px; padding: 5px 16px; border-radius: 999px;
-  background: linear-gradient(135deg, #ff7d6e, #ff5c82); color: #fff; font-size: 12px; font-weight: 600;
+  background: var(--gradient-brand-vivid); color: var(--color-text-inverse); font-size: var(--font-size-xs); font-weight: var(--font-weight-semibold); min-height: var(--tap-control); /* 还原消费端 Banner 按钮外观预览 */
 }
 </style>

admin-web/src/modules/content/ContentManagementView.vue

@@ -253,5 +253,5 @@ onMounted(() => { loadCategories(); loadArticles() })
 
 <style scoped>
 .card-header { display: flex; justify-content: space-between; align-items: center; }
-.field-hint { width: 100%; font-size: 12px; color: var(--el-text-color-secondary); line-height: 1.5; }
+.field-hint { width: 100%; font-size: var(--font-size-xs); color: var(--el-text-color-secondary); line-height: 1.5; }
 </style>

admin-web/src/modules/operator/OperatorManagementView.vue

@@ -62,6 +62,7 @@
 </template>
 
 <script setup lang="ts">
+import { getAccessToken } from '@/utils/token'
 import { ref, onMounted } from 'vue'
 import { get, post, put } from '@/api/client'
 
@@ -79,7 +80,7 @@ const orgMap = ref<Record<string, string>>({})
 async function loadData() {
   loading.value = true
   try {
-    const token = localStorage.getItem('accessToken')
+    const token = getAccessToken()
     const res: any = await get('/operator/operators', { page: page.value, pageSize: pageSize.value }, { Authorization: `Bearer ${token}` })
     tableData.value = res.data?.list || []
     total.value = res.data?.total || 0
@@ -89,7 +90,7 @@ async function loadData() {
 
 async function loadOrgs() {
   try {
-    const token = localStorage.getItem('accessToken')
+    const token = getAccessToken()
     const res: any = await get('/operator/operators/organizations', {}, { Authorization: `Bearer ${token}` })
     orgList.value = res.data || []
     orgList.value.forEach(o => { orgMap.value[o.id] = o.name })
@@ -105,7 +106,7 @@ async function save() {
   if (!form.value.username || !form.value.password) return
   saving.value = true
   try {
-    const token = localStorage.getItem('accessToken')
+    const token = getAccessToken()
     await post('/operator/operators', form.value, { Authorization: `Bearer ${token}` })
     formVisible.value = false
     loadData()
@@ -115,7 +116,7 @@ async function save() {
 
 async function toggleStatus(row: any) {
   try {
-    const token = localStorage.getItem('accessToken')
+    const token = getAccessToken()
     const action = row.status === 'normal' ? 'disable' : 'enable'
     await put(`/operator/operators/${row.id}/${action}`, {}, { Authorization: `Bearer ${token}` })
     loadData()
@@ -126,7 +127,7 @@ async function resetPwd(id: string) {
   const pwd = prompt('请输入新密码（至少8位）')
   if (!pwd || pwd.length < 8) return
   try {
-    const token = localStorage.getItem('accessToken')
+    const token = getAccessToken()
     await put(`/operator/operators/${id}/reset-password`, { newPassword: pwd }, { Authorization: `Bearer ${token}` })
   } catch (e) { console.error(e) }
 }

admin-web/src/modules/organization/OrganizationView.vue

@@ -60,6 +60,7 @@
 </template>
 
 <script setup lang="ts">
+import { getAccessToken } from '@/utils/token'
 import { ref, onMounted } from 'vue'
 import { get, post, put } from '@/api/client'
 
@@ -78,7 +79,7 @@ const ORG_TYPE_TEXT: Record<string, string> = {
 async function loadData() {
   loading.value = true
   try {
-    const token = localStorage.getItem('accessToken')
+    const token = getAccessToken()
     const res: any = await get('/operator/organizations', {}, { Authorization: `Bearer ${token}` })
     tableData.value = res.data || []
   } catch (e) { console.error(e) }
@@ -101,7 +102,7 @@ async function save() {
   if (!form.value.name) return
   saving.value = true
   try {
-    const token = localStorage.getItem('accessToken')
+    const token = getAccessToken()
     if (editId.value) {
       await put(`/operator/organizations/${editId.value}`, form.value, {
         Authorization: `Bearer ${token}`
@@ -119,7 +120,7 @@ async function save() {
 
 async function toggleStatus(row: any) {
   try {
-    const token = localStorage.getItem('accessToken')
+    const token = getAccessToken()
     const action = row.status === 'normal' ? 'disable' : 'enable'
     await put(`/operator/organizations/${row.id}/${action}`, {}, {
       Authorization: `Bearer ${token}`

admin-web/src/modules/review/ReviewView.vue

@@ -284,5 +284,5 @@ onMounted(loadPage)
 </script>
 
 <style scoped>
-.page-container{padding:28px}.page-kicker{color:var(--admin-primary);font-size:12px;font-weight:650;letter-spacing:1px}.stat-tags{display:flex;gap:8px}.review-panel{padding:20px 24px}.muted{color:var(--color-text-tertiary);font-size:12px}.drawer-loading{min-height:240px}.drawer-heading{margin:24px 0 12px;font-size:16px}.full-width{width:100%}.review-actions{display:flex;flex-wrap:wrap;gap:8px}@media(max-width:760px){.page-container{padding:18px}}
+.page-container{padding:28px}.page-kicker{color:var(--admin-primary);font-size:var(--font-size-xs);font-weight:var(--font-weight-semibold);letter-spacing:1px}.stat-tags{display:flex;gap:8px}.review-panel{padding:20px 24px}.muted{color:var(--color-text-tertiary);font-size:var(--font-size-xs)}.drawer-loading{min-height:240px}.drawer-heading{margin:24px 0 12px;font-size:var(--font-size-lg)}.full-width{width:100%}.review-actions{display:flex;flex-wrap:wrap;gap:8px}@media(max-width:760px){.page-container{padding:18px}}
 </style>

admin-web/src/modules/risk/ReportCenterView.vue

@@ -60,7 +60,7 @@
           <el-descriptions-item label="补充说明" :span="2">{{ detail.report?.description || '无' }}</el-descriptions-item>
         </el-descriptions>
 
-        <h4 style="margin:20px 0 12px;color:#E96B6B">被举报人风险画像</h4>
+        <h4 style="margin:20px 0 12px;color:var(--admin-coral-strong)">被举报人风险画像</h4>
         <el-descriptions :column="2" border v-if="detail.riskProfile">
           <el-descriptions-item label="用户">{{ detail.riskProfile.displayName }}</el-descriptions-item>
           <el-descriptions-item label="风险分数">{{ detail.riskProfile.totalRiskScore }}</el-descriptions-item>
@@ -72,7 +72,7 @@
           <el-descriptions-item label="历史举报数">{{ detail.riskProfile.totalReportsCount }}</el-descriptions-item>
         </el-descriptions>
 
-        <h4 style="margin:20px 0 12px;color:#E96B6B">处置操作</h4>
+        <h4 style="margin:20px 0 12px;color:var(--admin-coral-strong)">处置操作</h4>
         <el-form label-width="100px">
           <el-form-item label="处理结果">
             <el-select v-model="processResult" style="width:100%">
@@ -98,8 +98,10 @@
 </template>
 
 <script setup lang="ts">
+import { getAccessToken } from '@/utils/token'
 import { ref, onMounted } from 'vue'
 import { get, post } from '@/api/client'
+import { token as tokenColor } from '@/theme/tokens'
 
 const loading = ref(false)
 const processing = ref(false)
@@ -123,7 +125,7 @@ const STATUS_MAP: Record<string, { text: string; type: string }> = {
 async function loadData() {
   loading.value = true
   try {
-    const token = localStorage.getItem('accessToken')
+    const token = getAccessToken()
     const res: any = await get(`/operator/risk/reports/${statusFilter.value}`, {}, { Authorization: `Bearer ${token}` })
     tableData.value = res.data || []
     loadStats()
@@ -133,14 +135,14 @@ async function loadData() {
 
 async function loadStats() {
   try {
-    const token = localStorage.getItem('accessToken')
+    const token = getAccessToken()
     const res: any = await get('/operator/risk/reports/stats', {}, { Authorization: `Bearer ${token}` })
     const data = res.data || {}
     stats.value = [
-      { key: 'pending', label: '待处理', value: data.pendingCount || 0, color: '#E96B6B' },
-      { key: 'processing', label: '处理中', value: data.processingCount || 0, color: '#E59A32' },
-      { key: 'resolved', label: '已处理', value: data.resolvedCount || 0, color: '#67C23A' },
-      { key: 'dismissed', label: '已驳回', value: data.dismissedCount || 0, color: '#909399' }
+      { key: 'pending', label: '待处理', value: data.pendingCount || 0, color: tokenColor('--color-primary') },
+      { key: 'processing', label: '处理中', value: data.processingCount || 0, color: tokenColor('--color-warning') },
+      { key: 'resolved', label: '已处理', value: data.resolvedCount || 0, color: tokenColor('--color-success') },
+      { key: 'dismissed', label: '已驳回', value: data.dismissedCount || 0, color: tokenColor('--color-neutral') }
     ]
   } catch {}
 }
@@ -151,7 +153,7 @@ async function openDetail(reportId: string) {
   processResult.value = 'no_action'
   processNote.value = ''
   try {
-    const token = localStorage.getItem('accessToken')
+    const token = getAccessToken()
     const res: any = await get(`/operator/risk/reports/${reportId}`, {}, { Authorization: `Bearer ${token}` })
     detail.value = res.data
   } catch (e) { console.error(e) }
@@ -161,7 +163,7 @@ async function handleProcess() {
   if (!processResult.value) return
   processing.value = true
   try {
-    const token = localStorage.getItem('accessToken')
+    const token = getAccessToken()
     await post(`/operator/risk/reports/${currentReportId.value}/process`,
       { processResult: processResult.value, processNote: processNote.value },
       { Authorization: `Bearer ${token}` })
@@ -188,7 +190,7 @@ onMounted(loadData)
 <style scoped>
 .page-container { padding: 24px; }
 .stat-card { text-align: center; }
-.stat-value { font-size: 36px; font-weight: bold; }
-.stat-label { font-size: 14px; color: #666; margin-top: 8px; }
+.stat-value { font-size: var(--font-size-5xl); font-weight: var(--font-weight-bold); }
+.stat-label { font-size: var(--font-size-base); color: var(--color-text-tertiary); margin-top: 8px; }
 .card-header { display: flex; justify-content: space-between; align-items: center; }
 </style>

admin-web/src/modules/service-station/ServiceStationView.vue

@@ -348,6 +348,6 @@ onMounted(loadStations)
 .form-hint {
   margin-left: 10px;
   color: var(--el-text-color-secondary);
-  font-size: 12px;
+  font-size: var(--font-size-xs);
 }
 </style>

admin-web/src/modules/user/UserDetailView.vue

@@ -20,7 +20,7 @@
       <div class="identity-summary">
         <el-avatar :size="58">{{ (user.displayName || '用')[0] }}</el-avatar>
         <div><h2>{{ user.displayName || '未设置显示名称' }}</h2><span>用户编号：{{ user.id }}</span></div>
-        <el-progress class="completion" type="dashboard" :percentage="user.profileCompletion || 0" :width="72" :stroke-width="7" color="#EE666B" />
+        <el-progress class="completion" type="dashboard" :percentage="user.profileCompletion || 0" :width="72" :stroke-width="7" color="var(--admin-coral-solid)" />
       </div>
       <el-tabs v-model="activeTab" class="detail-tabs">
         <el-tab-pane label="基础信息" name="basic">
@@ -129,5 +129,5 @@ function formatTime(time?: string) { return time ? new Date(time).toLocaleString
 onMounted(loadDetail)
 </script>
 <style scoped>
-.page-container{padding:28px}.back-button{margin-bottom:8px}.heading-tags{display:flex;gap:8px}.detail-card{padding:24px}.identity-summary{display:flex;align-items:center;gap:14px;padding-bottom:20px;border-bottom:1px solid var(--color-border-light)}.identity-summary .el-avatar{color:#fff;background:var(--admin-primary)}.identity-summary h2{font-size:20px}.identity-summary span{display:block;margin-top:6px;color:var(--color-text-tertiary);font-size:12px}.completion{margin-left:auto}.detail-tabs{margin-top:18px}.masked{margin-right:8px;color:var(--color-text-tertiary)}.risk-summary{display:grid;grid-template-columns:repeat(3,1fr);gap:14px}.risk-summary article{padding:18px;background:var(--admin-soft-pink);border-radius:12px}.risk-summary span{color:var(--color-text-secondary)}.risk-summary strong{display:block;margin-top:8px;font-size:26px}.danger-zone{display:flex;align-items:center;justify-content:space-between;gap:20px;margin-top:20px;padding:18px;border:1px solid #F3CCCC;border-radius:12px}.danger-zone h3{display:flex;align-items:center;gap:7px;color:var(--color-danger)}.danger-zone p{margin-top:6px;color:var(--color-text-secondary)}.status-form{margin-top:18px}.full-width{width:100%}@media(max-width:760px){.page-container{padding:18px}.risk-summary{grid-template-columns:1fr}.danger-zone{align-items:flex-start;flex-direction:column}}
+.page-container{padding:28px}.back-button{margin-bottom:8px}.heading-tags{display:flex;gap:8px}.detail-card{padding:24px}.identity-summary{display:flex;align-items:center;gap:14px;padding-bottom:20px;border-bottom:1px solid var(--color-border-light)}.identity-summary .el-avatar{color:var(--color-text-inverse);background:var(--admin-coral-solid)}.identity-summary h2{font-size:var(--font-size-2xl)}.identity-summary span{display:block;margin-top:6px;color:var(--color-text-tertiary);font-size:var(--font-size-xs)}.completion{margin-left:auto}.detail-tabs{margin-top:18px}.masked{margin-right:8px;color:var(--color-text-tertiary)}.risk-summary{display:grid;grid-template-columns:repeat(3,1fr);gap:14px}.risk-summary article{padding:18px;background:var(--admin-soft-pink);border-radius:12px}.risk-summary span{color:var(--color-text-secondary)}.risk-summary strong{display:block;margin-top:8px;font-size:var(--font-size-4xl)}.danger-zone{display:flex;align-items:center;justify-content:space-between;gap:20px;margin-top:20px;padding:18px;border:1px solid var(--color-border-danger);border-radius:12px}.danger-zone h3{display:flex;align-items:center;gap:7px;color:var(--color-danger-strong)}.danger-zone p{margin-top:6px;color:var(--color-text-secondary)}.status-form{margin-top:18px}.full-width{width:100%}@media(max-width:760px){.page-container{padding:18px}.risk-summary{grid-template-columns:1fr}.danger-zone{align-items:flex-start;flex-direction:column}}
 </style>

admin-web/src/modules/user/UserManagementView.vue

@@ -206,8 +206,8 @@ onMounted(loadData)
 
 .page-kicker {
   color: var(--admin-primary);
-  font-size: 12px;
-  font-weight: 650;
+  font-size: var(--font-size-xs);
+  font-weight: var(--font-weight-semibold);
   letter-spacing: 1px;
 }
 

admin-web/src/router/index.ts

@@ -44,12 +44,17 @@ const routes: RouteRecordRaw[] = [
   },
 ]
 
-const router = createRouter({ history: createWebHistory(), routes })
+// history 的 base 必须与 vite 的 base 保持一致（生产构建为 /admin/）。
+// 否则部署在 /admin/ 子路径下时，刷新或直达 /admin/xxx 会因路由匹配基准不符而白屏。
+const router = createRouter({ history: createWebHistory(import.meta.env.BASE_URL), routes })
 
-router.beforeEach((to) => {
+router.beforeEach(async (to) => {
   const authStore = useAuthStore()
   const requiredPerms = (to.meta.permissions as string[]) || []
 
+  // 0. 页面刷新后内存态清空，先凭 HttpOnly refresh Cookie 静默恢复会话（无则跳登录）
+  await authStore.initializeSession()
+
   // 1. 登录检查
   if (to.path !== '/login' && !authStore.isLoggedIn) {
     return { path: '/login', query: { redirect: to.fullPath } }

admin-web/src/stores/auth.ts

@@ -1,6 +1,7 @@
 import { defineStore } from 'pinia'
 import { ref, computed } from 'vue'
 import { post } from '@/api/client'
+import { setAccessToken, clearAccessToken } from '@/utils/token'
 
 interface OperatorInfo {
   operatorId: string
@@ -23,38 +24,68 @@ export const useAuthStore = defineStore('auth', () => {
   const previewOperator: OperatorInfo | null = previewRolePermissions[previewRole]
     ? { operatorId: 'ui-preview', name: '界面验收员', username: 'preview', permissions: previewRolePermissions[previewRole], organizationId: null }
     : null
-  const token = ref<string>(previewOperator ? 'ui-preview-only' : (localStorage.getItem('accessToken') || ''))
-  const operator = ref<OperatorInfo | null>(
-    previewOperator || JSON.parse(localStorage.getItem('operator') || 'null')
-  )
 
-  const isLoggedIn = computed(() => !!token.value)
+  const token = ref<string>(previewOperator ? 'ui-preview-only' : '')
+  const operator = ref<OperatorInfo | null>(previewOperator)
+  let sessionInitialized = false
+
+  const isLoggedIn = computed(() => !!token.value && !!operator.value)
   const permissions = computed(() => operator.value?.permissions || [])
 
+  function applyAuthData(data: any) {
+    token.value = data.accessToken || ''
+    operator.value = {
+      operatorId: data.operatorId,
+      name: data.name,
+      username: data.username,
+      permissions: data.permissions || [],
+      organizationId: data.organizationId ?? null,
+    }
+    // 同步内存态令牌（供 axios 拦截器注入 Authorization 头；生产同源场景 Cookie 也会自动携带）
+    setAccessToken(token.value)
+  }
+
   async function login(username: string, password: string) {
     const res: any = await post('/auth/operator/login', { username, password })
     if (res.success) {
-      token.value = res.data.accessToken
-      operator.value = {
-        operatorId: res.data.operatorId,
-        name: res.data.name,
-        username: res.data.username,
-        permissions: res.data.permissions || [],
-        organizationId: res.data.organizationId ?? null,
-      }
-      localStorage.setItem('accessToken', res.data.accessToken)
-      localStorage.setItem('operator', JSON.stringify(operator.value))
+      applyAuthData(res.data)
       return res.data
     }
     throw new Error(res.message || '登录失败')
   }
 
-  function logout() {
-    token.value = ''
-    operator.value = null
-    localStorage.removeItem('accessToken')
-    localStorage.removeItem('operator')
+  /**
+   * 静默恢复会话：页面刷新后内存态清空，凭 HttpOnly refresh Cookie（dy_op_rt）刷新令牌，
+   * 无需用户重新登录。refresh token 不落地、不可被 JS 读取，抗 XSS。
+   * 开发跨端口代理下 Cookie 不共享，刷新将失败并回落到登录页（符合预期）。
+   */
+  async function initializeSession(): Promise<boolean> {
+    if (sessionInitialized) return isLoggedIn.value
+    sessionInitialized = true
+    if (token.value) return true
+    try {
+      const res: any = await post('/auth/operator/refresh', {})
+      if (res.success) {
+        applyAuthData(res.data)
+        return true
+      }
+    } catch {
+      // 未登录或 refresh 失效，交由路由守卫跳转登录页
+    }
+    return false
   }
 
-  return { token, operator, isLoggedIn, permissions, login, logout }
+  function logout() {
+    // 尽力通知后端注销并清除 Cookie（best-effort）
+    try {
+      post('/auth/operator/logout', {}).catch(() => {})
+    } catch {
+      // ignore
+    }
+    token.value = ''
+    operator.value = null
+    clearAccessToken()
+  }
+
+  return { token, operator, isLoggedIn, permissions, login, logout, initializeSession }
 })

admin-web/src/theme/index.css

@@ -1,93 +1,412 @@
+/* ============================================================================
+ * 管理端设计系统 · v2
+ *
+ * 本文件是管理端唯一的设计 token 事实源。24 个 .vue 的 <style> 只允许通过
+ * var(--token) 取色 / 取字号 / 取间距，不应出现字面色值（由门控脚本
+ * scripts/lint-admin-tokens.mjs 拦截）。
+ *
+ * 立此版本的原因（2026-09-22 审计实测，不是主观判断）：
+ *   · 97 处硬编码颜色 / 67 种色值：6 种近似粉底（#FFF0F1 #FFF3F2 #FFF6F6
+ *     #FFF7F7 #FFF8F7 #FFFAFA）、6 种近似浅灰边框、大量灰阶碎片。
+ *   · 88 处硬编码字号 / 23 种档位，其中 20 处 ≤11px（9px 见于 .metric-copy em、
+ *     .activity-status、.todo-copy small），低于可读下限。
+ *   · --color-text-tertiary(#888888) 白底 3.54:1、--color-warning(#E59A32) 2.33:1、
+ *     --admin-coral(#F45F68) 3.14:1 —— 在各自用法下均不达 WCAG AA 的 4.5:1。
+ *   · Element Plus 的 --el-color-*-light-N / -dark-2 / -rgb 是**编译期静态生成**的，
+ *     项目只覆盖了 --el-color-primary，于是开关、滑块、焦点环、分页、标签等
+ *     组件仍是默认蓝 —— 品牌色与 EP 蓝混用。
+ *
+ * 三条硬规则：
+ *   1) 品牌色三级分化：基础色只做色块/渐变/图形（不承载文字）；
+ *      -strong 做白底文字；-solid 做实心底压白字；两者均实算 ≥4.5:1。
+ *   2) 字重只用 400 / 500 / 600 / 700 四档（跨平台缺字重会回退，导致渲染不一致）。
+ *   3) 字号有下限：正文最小 12px，角标/计数不得低于 11px。
+ *
+ * 所有对比度数值均由脚本按 WCAG 相对亮度公式实算（非估算），标注在各 token 后。
+ * ========================================================================== */
+
 :root {
-  --admin-coral: #f45f68;
-  --admin-coral-hover: #df505a;
-  --admin-coral-soft: #fff0f1;
-  --admin-shell-bg: rgba(255, 255, 255, 0.96);
-  --admin-sidebar-bg: #202d38;
-  --admin-sidebar-surface: #2b3a46;
-  --admin-sidebar-text: #D9E1E6;
-  --admin-sidebar-muted: #8FA1AC;
-  --admin-page-bg: #f7f9fb;
+  /* ---------------- 品牌色 ---------------- */
+  /* 基础色：仅用于色块 / 渐变 / 图标 / 边框氛围。白底作文字只有 3.14:1，禁止承载文字。 */
+  --admin-coral: #F45F68;
+  --admin-coral-hover: #E5535D;
+  --admin-coral-strong: #C0414A;      /* 白底文字 5.13:1 */
+  --admin-coral-solid: #C84A53;       /* 实心底压白字 4.60:1 */
+  --admin-coral-solid-hover: #B8434A; /* hover 反而更深更清晰 5.33:1 */
+  --admin-coral-on-dark: #FF969C;     /* 侧栏深底文字 6.76:1 */
+  --admin-coral-soft: #FFF0F1;        /* 品牌浅底（角标 / 选中态底） */
+  --admin-coral-lighter: #FFF8F7;     /* 更浅一档，hover 底 */
+  --admin-coral-border: rgba(244, 95, 104, 0.22);
+  /* 承载白字的品牌渐变（两端均 ≥4.5:1）。基础色渐变见 --gradient-brand-vivid。 */
+  --gradient-brand-solid: linear-gradient(135deg, #C84A53 0%, #B8434A 100%);
+  /* 鲜亮品牌渐变：只允许用在「无文字覆盖」的装饰，或预览态还原（如 Banner 预览）。 */
+  --gradient-brand-vivid: linear-gradient(135deg, #FF7D6E 0%, #FF5C82 100%);
+  --gradient-brand-soft: linear-gradient(135deg, #FFE9DF 0%, #FFF7F2 100%);
+  /* 水平进度条填充（对轨道 --color-primary-light）：原 #F56B75→#EF5A65 仅 2.53:1，
+     条与轨道难以区分；改达标渐变后 4.01:1。 */
+  --gradient-brand-bar: linear-gradient(90deg, #C84A53 0%, #B8434A 100%);
+
+  /* 兼容既有引用名（全站仍在用） */
   --admin-primary: var(--admin-coral);
   --admin-primary-hover: var(--admin-coral-hover);
-  --admin-card-radius: 14px;
-  --admin-shell-radius: 22px;
-  --admin-shadow: 0 18px 48px rgba(57, 40, 45, 0.14);
-  --admin-header-bg: #FFFFFF;
-  --admin-soft-pink: var(--admin-coral-soft);
-  --admin-soft-blue: #EEF5FF;
-  --admin-soft-green: #EDF8F1;
-  --admin-soft-purple: #F4EFFF;
-  --color-primary: var(--admin-primary);
-  --color-primary-hover: var(--admin-primary-hover);
-  --color-primary-light: #FFF3F2;
-  --color-primary-lighter: #FFF8F7;
-  --color-success: #2E9B68;
-  --color-warning: #E59A32;
-  --color-danger: #D94A4A;
-  --color-info: #4A7CD4;
-  --color-text-primary: #222222;
-  --color-text-secondary: #555555;
-  --color-text-tertiary: #888888;
+  --admin-primary-strong: var(--admin-coral-strong);
+  --admin-primary-solid: var(--admin-coral-solid);
+  --color-primary: var(--admin-coral);
+  --color-primary-hover: var(--admin-coral-hover);
+  --color-primary-strong: var(--admin-coral-strong);
+  --color-primary-solid: var(--admin-coral-solid);
+  --color-primary-light: var(--admin-coral-soft);
+  --color-primary-lighter: var(--admin-coral-lighter);
+
+  /* ---------------- 语义色五组 ----------------
+     基色做图形/色块；-strong 做文字（实算 ≥4.5:1）；-soft 为配套浅底。 */
+  --color-success: #2E9B68;           /* 白底 3.50:1 —— 仅图形 */
+  --color-success-strong: #1F7A4F;    /* 白底 5.31:1 */
+  --color-success-soft: #EDF8F1;
+  --color-warning: #E59A32;           /* 白底 2.33:1 —— 仅图形 */
+  --color-warning-strong: #8F5D0F;    /* 白底 5.61:1 */
+  --color-warning-soft: #FFF6E6;
+  --color-danger: #D94A4A;            /* 白底 4.18:1 —— 图形 / ≥24px 大字 */
+  --color-danger-strong: #B8353A;     /* 白底 5.82:1 */
+  --color-danger-soft: #FFF6F6;
+  --color-info: #4A7CD4;              /* 白底 4.10:1 —— 图形 */
+  --color-info-strong: #3A63B0;       /* 白底 5.85:1 */
+  --color-info-soft: #EEF5FF;
+  --color-purple: #8B63BC;
+  --color-purple-strong: #6B47A0;     /* 白底 6.92:1 */
+  --color-purple-soft: #F4EFFF;
+  --color-neutral: #8A9099;
+  --color-neutral-strong: #656C79;    /* 白底 5.28:1 */
+  --color-neutral-soft: #F4F5F7;
+
+  /* ---------------- 文字 ---------------- */
+  --color-text-primary: #1F2328;      /* 白底 15.80:1 */
+  --color-text-secondary: #555555;    /* 白底 7.46:1 */
+  --color-text-tertiary: #676E7B;     /* 白底 5.13:1；浅底 #F5F6F8 上 4.74:1（原 #888 仅 3.54:1） */
+  --color-text-placeholder: #8A9099;  /* 3.25:1：占位符按惯例弱于正文一档（EP 默认 2.5:1） */
+  --color-text-disabled: #B9BEC7;
+  --color-text-inverse: #FFFFFF;
+  --color-text-on-dark: #D9E1E6;          /* 侧栏深底 10.62:1 */
+  --color-text-on-dark-muted: #8FA1AC;    /* 侧栏深底 5.26:1 */
+  --color-icon-muted: #D7DCE0;            /* 空态大图标等纯装饰 */
+
+  /* ---------------- 背景 ---------------- */
   --color-bg-primary: #FFFFFF;
-  --color-bg-secondary: #FFF8F7;
-  --color-bg-page: #FAFAF8;
-  --color-border: #E8E5E2;
-  --color-border-light: #F0EDE9;
+  --color-bg-page: #F7F9FB;
+  --color-bg-secondary: #FAFAFB;
+  --color-bg-subtle: #F5F6F8;
+  --color-bg-input: #F6F7F8;
+  --color-bg-overlay: rgba(255, 255, 255, 0.86);
+  --color-bg-overlay-strong: rgba(255, 255, 255, 0.96);
+
+  /* ---------------- 边框 ---------------- */
+  --color-border: #E4E7EB;
+  --color-border-light: #EDF0F2;
+  --color-border-hairline: #F2F3F4;
+  --color-border-strong: #D7DCE0;
+  --color-border-danger: #F3CCCC;
+
+  /* ---------------- 侧栏（深底） ---------------- */
+  --admin-sidebar-bg: #202D38;
+  --admin-sidebar-bg-deep: #192733;
+  --admin-sidebar-gradient: linear-gradient(180deg, #202D38 0%, #192733 100%);
+  --admin-sidebar-surface: #2B3A46;
+  --admin-sidebar-text: #D9E1E6;
+  --admin-sidebar-muted: #8FA1AC;
+  --admin-sidebar-hairline: rgba(255, 255, 255, 0.08);
+  --admin-sidebar-hairline-soft: rgba(255, 255, 255, 0.06);
+
+  /* ---------------- 壳与栅格 ---------------- */
+  --admin-shell-bg: rgba(255, 255, 255, 0.96);
+  --admin-header-bg: #FFFFFF;
+  --admin-shell-radius: 22px;
+  --admin-card-radius: 14px;
+  --admin-shell-max-width: 1840px;
+  --admin-page-max-width: 1440px;
+  --admin-content-max-width: 1500px;
   --sidebar-width: 220px;
+  --sidebar-width-collapsed: 76px;
   --header-height: 64px;
+
+  /* ---------------- 圆角 ---------------- */
+  --border-radius-xs: 6px;
   --border-radius-sm: 8px;
-  --border-radius-md: var(--admin-card-radius);
+  --border-radius-md: 14px;
   --border-radius-lg: 16px;
+  --border-radius-xl: 18px;
+  --border-radius-pill: 999px;
+
+  /* ---------------- 阴影 ---------------- */
+  --shadow-panel: 0 8px 20px rgba(48, 58, 67, 0.035);
   --shadow-card: 0 8px 24px rgba(75, 55, 46, 0.06);
-  --el-color-primary: var(--color-primary);
+  --shadow-raise: 0 10px 24px rgba(68, 48, 55, 0.1);
+  --shadow-brand: 0 8px 18px rgba(200, 74, 83, 0.26);
+  --admin-shadow: 0 18px 48px rgba(57, 40, 45, 0.14);
+
+  /* ---------------- 排版刻度 ----------------
+     正文 14px 起；角标/计数下限 11px；元信息下限 12px。 */
+  --font-family-base: -apple-system, BlinkMacSystemFont, "Segoe UI", "PingFang SC", "Microsoft YaHei", sans-serif;
+  --font-family-brand: KaiTi, STKaiti, serif;  /* 品牌书法体：仅装饰性标语 */
+  --font-size-micro: 11px;
+  --font-size-xs: 12px;
+  --font-size-sm: 13px;
+  --font-size-base: 14px;
+  --font-size-md: 15px;
+  --font-size-lg: 16px;
+  --font-size-xl: 18px;
+  --font-size-2xl: 20px;
+  --font-size-3xl: 24px;
+  --font-size-4xl: 28px;
+  --font-size-5xl: 32px;
+  --font-size-display: 38px;
+  --font-line-tight: 1.2;
+  --font-line-snug: 1.35;
+  --font-line-base: 1.6;
+  --font-weight-normal: 400;
+  --font-weight-medium: 500;
+  --font-weight-semibold: 600;
+  --font-weight-bold: 700;
+
+  /* ---------------- 间距 ---------------- */
+  --space-1: 4px;
+  --space-2: 8px;
+  --space-3: 12px;
+  --space-4: 16px;
+  --space-5: 20px;
+  --space-6: 24px;
+  --space-8: 32px;
+  --space-10: 40px;
+
+  /* ---------------- 动效 ---------------- */
+  --motion-fast: 140ms;
+  --motion-normal: 200ms;
+  --motion-slow: 320ms;
+  --ease-standard: cubic-bezier(0.4, 0, 0.2, 1);
+  --ease-out: cubic-bezier(0.16, 1, 0.3, 1);
+  --press-scale: 0.985;
+  --press-opacity: 0.88;
+
+  /* ---------------- 交互热区 ----------------
+     桌面端按下限为 WCAG 2.5.8(AA) 的 24×24px；本项目常规控件取 32px（舒适），
+     主导航行取 44px（兼顾触屏笔记本）。不套用移动端 44px 全量规则，
+     否则会把管理端的单屏信息密度牺牲掉。 */
+  --tap-min: 44px;
+  --tap-control: 32px;
+  --tap-icon: 36px;
+
+  /* ---------------- tone 色调组（工作台指标卡 / 待办图标） ----------------
+     每组三档：--tone-x 用于图标与图形；--tone-x-ink 用于文字（压 --tone-x-soft
+     实算均 ≥4.6:1）；--tone-x-soft 为浅底。 */
+  --tone-rose: #F45F68;    --tone-rose-ink: var(--admin-coral-strong);    --tone-rose-soft: #FFF0F1;
+  --tone-amber: #E59A32;   --tone-amber-ink: var(--color-warning-strong); --tone-amber-soft: #FFF6E6;
+  --tone-blue: #4A7CD4;    --tone-blue-ink: var(--color-info-strong);     --tone-blue-soft: #EEF5FF;
+  --tone-green: #2E9B68;   --tone-green-ink: var(--color-success-strong); --tone-green-soft: #EDF8F1;
+  --tone-purple: #8B63BC;  --tone-purple-ink: var(--color-purple-strong); --tone-purple-soft: #F4EFFF;
+  --tone-slate: #8A9099;   --tone-slate-ink: var(--color-neutral-strong); --tone-slate-soft: #F4F5F7;
+  --tone-red: #D94A4A;     --tone-red-ink: var(--color-danger-strong);    --tone-red-soft: #FFF6F6;
+
+  /* 兼容既有引用名 */
+  --admin-soft-pink: var(--admin-coral-soft);
+  --admin-soft-blue: var(--color-info-soft);
+  --admin-soft-green: var(--color-success-soft);
+  --admin-soft-purple: var(--color-purple-soft);
+
+  /* ==========================================================================
+     Element Plus 联动
+     EP 的 --el-color-{t}-light-{i} / -dark-2 / -rgb 由 SCSS 在**编译期**按默认色
+     静态生成，运行时改 --el-color-primary 不会带动它们（开关、滑块、焦点环、
+     分页、标签因此仍是默认蓝）。这里按 EP 的派生公式补全：
+         light-{i} = mix(#FFFFFF, base, i*10%)      i ∈ 1..9
+         dark-2    = mix(#000000, base, 20%)
+     基色取 -strong / -solid 档 —— 既能当文字色也能做实心底，使 EP 全组件与品牌一致。
+     info 保持中性灰：EP 的 info 语义是「中性/未知」，不应变成品牌红。
+     ========================================================================== */
+  --el-color-primary: #C84A53;
+  --el-color-primary-rgb: 200, 74, 83;
+  --el-color-primary-light-3: #d98087;
+  --el-color-primary-light-5: #e4a5a9;
+  --el-color-primary-light-7: #efc9cb;
+  --el-color-primary-light-8: #f4dbdd;
+  --el-color-primary-light-9: #faedee;
+  --el-color-primary-dark-2: #a03b42;
+
+  --el-color-success: #1F7A4F;
+  --el-color-success-rgb: 31, 122, 79;
+  --el-color-success-light-3: #62a284;
+  --el-color-success-light-5: #8fbda7;
+  --el-color-success-light-7: #bcd7ca;
+  --el-color-success-light-8: #d2e4dc;
+  --el-color-success-light-9: #e9f2ed;
+  --el-color-success-dark-2: #19623f;
+
+  --el-color-warning: #8F5D0F;
+  --el-color-warning-rgb: 143, 93, 15;
+  --el-color-warning-light-3: #b18e57;
+  --el-color-warning-light-5: #c7ae87;
+  --el-color-warning-light-7: #ddceb7;
+  --el-color-warning-light-8: #e9dfcf;
+  --el-color-warning-light-9: #f4efe7;
+  --el-color-warning-dark-2: #724a0c;
+
+  --el-color-danger: #B8353A;
+  --el-color-danger-rgb: 184, 53, 58;
+  --el-color-danger-light-3: #cd7275;
+  --el-color-danger-light-5: #dc9a9d;
+  --el-color-danger-light-7: #eac2c4;
+  --el-color-danger-light-8: #f1d7d8;
+  --el-color-danger-light-9: #f8ebeb;
+  --el-color-danger-dark-2: #932a2e;
+
+  --el-color-info: #656C79;
+  --el-color-info-rgb: 101, 108, 121;
+  --el-color-info-light-3: #9398a1;
+  --el-color-info-light-5: #b2b6bc;
+  --el-color-info-light-7: #d1d3d7;
+  --el-color-info-light-8: #e0e2e4;
+  --el-color-info-light-9: #f0f0f2;
+  --el-color-info-dark-2: #515661;
+
+  /* EP 中性色（文字 / 边框 / 填充）接到同一套 token，避免表格、输入框另成一套灰 */
+  --el-text-color-primary: var(--color-text-primary);
+  --el-text-color-regular: var(--color-text-secondary);
+  --el-text-color-secondary: var(--color-text-tertiary);
+  --el-text-color-placeholder: var(--color-text-placeholder);
+  --el-text-color-disabled: var(--color-text-disabled);
+  --el-border-color: var(--color-border);
+  --el-border-color-light: var(--color-border-light);
+  --el-border-color-lighter: var(--color-border-light);
+  --el-border-color-extra-light: var(--color-border-hairline);
+  --el-fill-color: var(--color-bg-subtle);
+  --el-fill-color-light: var(--color-bg-secondary);
+  --el-fill-color-lighter: var(--color-bg-secondary);
+  --el-bg-color: var(--color-bg-primary);
+  --el-bg-color-page: var(--color-bg-page);
+  --el-border-radius-base: var(--border-radius-sm);
 }
 
 * { margin: 0; padding: 0; box-sizing: border-box; }
+
 html, body, #app {
   width: 100%;
   height: 100%;
-  font-family: -apple-system, BlinkMacSystemFont, "Segoe UI", "PingFang SC", "Microsoft YaHei", sans-serif;
-  font-size: 14px;
+  font-family: var(--font-family-base);
+  font-size: var(--font-size-base);
   color: var(--color-text-primary);
   background-color: var(--color-bg-page);
 }
+
+/* 管理端是桌面密度布局，1100px 以下由 MainLayout 的 .admin-scene 承担横向滚动。 */
 body { min-width: 1100px; }
+
+/* <small> 的浏览器默认样式是 font-size: smaller（0.833em），会按父级字号再缩一档：
+   父级 12px 时实际渲染 10px、11px 时渲染 9.17px —— 静默跌破 11px 下限，
+   且源码里看不到任何非法字号，静态检查抓不到（2026-09-22 由渲染态实测发现）。
+   这里统一改为继承父级字号，需要更小的场景必须显式声明 token 字号（守卫会校验）。 */
+small { font-size: inherit; }
+
 button:focus-visible,
 a:focus-visible,
 input:focus-visible,
 [tabindex]:focus-visible {
-  outline: 3px solid rgba(238, 102, 107, 0.32);
+  outline: 3px solid var(--admin-coral-border);
   outline-offset: 2px;
 }
+
+/* ---------------- Element Plus 组件级覆盖 ---------------- */
+/* EP 默认 hover 是把主色「加白」（白字对比度随之掉到 2.2:1）。这里改成更深一档，
+   既保住白字可读性（5.33:1），hover 反馈也更明确。 */
 .el-button--primary {
-  --el-button-bg-color: var(--color-primary);
-  --el-button-border-color: var(--color-primary);
-  --el-button-hover-bg-color: var(--color-primary-hover);
-  --el-button-hover-border-color: var(--color-primary-hover);
+  --el-button-bg-color: var(--admin-coral-solid);
+  --el-button-border-color: var(--admin-coral-solid);
+  --el-button-hover-bg-color: var(--admin-coral-solid-hover);
+  --el-button-hover-border-color: var(--admin-coral-solid-hover);
+  --el-button-active-bg-color: var(--el-color-primary-dark-2);
+  --el-button-active-border-color: var(--el-color-primary-dark-2);
 }
+
 .el-radio-group .el-radio-button__inner:checked {
-  background-color: var(--color-primary);
-  border-color: var(--color-primary);
+  background-color: var(--admin-coral-solid);
+  border-color: var(--admin-coral-solid);
 }
-.el-card { --el-card-border-radius: var(--border-radius-md); --el-card-border-color: var(--color-border-light); }
-.el-table { --el-table-header-bg-color: #FBFAF8; --el-table-border-color: var(--color-border-light); }
-.el-tag { border-radius: 999px; }
-.page-container { padding: 24px; }
-.page-shell { max-width: 1440px; margin: 0 auto; }
-.page-heading { display: flex; align-items: flex-end; justify-content: space-between; gap: 16px; margin-bottom: 20px; }
-.page-heading h1 { font-size: 24px; line-height: 1.35; font-weight: 650; }
+
+.el-card {
+  --el-card-border-radius: var(--border-radius-md);
+  --el-card-border-color: var(--color-border-light);
+}
+
+.el-table {
+  --el-table-header-bg-color: var(--color-bg-secondary);
+  --el-table-border-color: var(--color-border-light);
+}
+
+.el-tag { border-radius: var(--border-radius-pill); }
+
+/* ---------------- 通用版式 ---------------- */
+.page-container { padding: var(--space-6); }
+
+.page-shell { max-width: var(--admin-page-max-width); margin: 0 auto; }
+
+.page-heading {
+  display: flex;
+  align-items: flex-end;
+  justify-content: space-between;
+  gap: var(--space-4);
+  margin-bottom: var(--space-5);
+}
+
+.page-heading h1 {
+  font-size: var(--font-size-3xl);
+  line-height: var(--font-line-snug);
+  font-weight: var(--font-weight-semibold);
+}
+
 .page-heading p { margin-top: 6px; color: var(--color-text-tertiary); }
-.surface-card { background: var(--color-bg-primary); border: 1px solid var(--color-border-light); border-radius: var(--border-radius-md); box-shadow: var(--shadow-card); }
+
+.surface-card {
+  background: var(--color-bg-primary);
+  border: 1px solid var(--color-border-light);
+  border-radius: var(--border-radius-md);
+  box-shadow: var(--shadow-card);
+}
+
+/* 语义文字色工具类（比在页面里各写一遍 color: #xxx 更不容易漂移） */
 .text-primary { color: var(--color-text-primary); }
 .text-secondary { color: var(--color-text-secondary); }
 .text-tertiary { color: var(--color-text-tertiary); }
-.mt-sm { margin-top: 8px; }
-.mt-md { margin-top: 16px; }
-.mt-lg { margin-top: 24px; }
-.mb-sm { margin-bottom: 8px; }
-.mb-md { margin-bottom: 16px; }
-.mb-lg { margin-bottom: 24px; }
+.text-muted { color: var(--color-text-tertiary); }
+.text-brand { color: var(--admin-coral-strong); }
+.text-success { color: var(--color-success-strong); }
+.text-warning { color: var(--color-warning-strong); }
+.text-danger { color: var(--color-danger-strong); }
+
+/* 语义底色工具类 */
+.bg-card { background: var(--color-bg-primary); }
+.bg-subtle { background: var(--color-bg-subtle); }
+.bg-brand-soft { background: var(--admin-coral-soft); }
+
+/* 间距工具类 */
+.mt-sm { margin-top: var(--space-2); }
+.mt-md { margin-top: var(--space-4); }
+.mt-lg { margin-top: var(--space-6); }
+.mb-sm { margin-bottom: var(--space-2); }
+.mb-md { margin-bottom: var(--space-4); }
+.mb-lg { margin-bottom: var(--space-6); }
+
 .flex-center { display: flex; align-items: center; justify-content: center; }
-@media (max-width: 1200px) { body { min-width: 0; } }
-@media (max-width: 900px) { .page-container { padding: 16px; } .page-heading { align-items: flex-start; flex-direction: column; } }
+
+/* ---------------- 交互反馈 ---------------- */
+/* 桌面端控件热区下限：32px（WCAG 2.5.8 AA 为 24px，留出舒适余量） */
+.tap-control { min-height: var(--tap-control); min-width: var(--tap-control); }
+
+/* 按压反馈：统一走 token，避免各页面各写一套 scale/opacity */
+.pressable { transition: transform var(--motion-fast) var(--ease-standard), opacity var(--motion-fast) var(--ease-standard); }
+.pressable:active { transform: scale(var(--press-scale)); opacity: var(--press-opacity); }
+
+@media (max-width: 1200px) {
+  body { min-width: 0; }
+}
+
+@media (max-width: 900px) {
+  .page-container { padding: var(--space-4); }
+  .page-heading { align-items: flex-start; flex-direction: column; }
+}

admin-web/src/theme/tokens.ts

@@ -0,0 +1,77 @@
+/**
+ * 管理端调色板常量（TS 侧）。
+ *
+ * 为什么需要这个文件：
+ * 部分模板用 `:style="{ backgroundColor: stage.color + '15' }"` 把 6 位 hex 拼成
+ * 8 位带 alpha 的颜色（'#409EFF' + '15' → '#409EFF15'，即 8% 不透明度）。
+ * 这类位置**不能**用 CSS var —— `'var(--x)' + '15'` 是无效值，浏览器会整条丢弃。
+ * 于是「色值只有一处事实源」这条规则在 TS 侧会漏。本文件补上这个缺口。
+ *
+ * 单一事实源约定：
+ * 键名就是 src/theme/index.css 里的 var 名，值必须与之一致。
+ * 门控脚本 scripts/lint-admin-tokens.mjs 会逐项比对，任一侧改了而另一侧没改即失败。
+ */
+
+export const TOKEN_HEX: Record<string, string> = {
+  '--color-primary': '#F45F68',
+  '--color-primary-strong': '#C0414A',
+  '--color-primary-solid': '#C84A53',
+  '--color-success': '#2E9B68',
+  '--color-success-strong': '#1F7A4F',
+  '--color-warning': '#E59A32',
+  '--color-warning-strong': '#8F5D0F',
+  '--color-danger': '#D94A4A',
+  '--color-danger-strong': '#B8353A',
+  '--color-info': '#4A7CD4',
+  '--color-info-strong': '#3A63B0',
+  '--color-purple': '#8B63BC',
+  '--color-purple-strong': '#6B47A0',
+  '--color-neutral': '#8A9099',
+  '--color-neutral-strong': '#656C79',
+  '--color-text-primary': '#1F2328',
+  '--color-text-secondary': '#555555',
+  '--color-text-tertiary': '#676E7B',
+  '--color-bg-page': '#F7F9FB',
+  '--color-border': '#E4E7EB',
+}
+
+/**
+ * 取 token 的 hex 字面量。用于 :style 绑定（含 hex 拼接透明度的场景）。
+ * @example token('--color-success') // '#2E9B68'
+ */
+export function token(name: string): string {
+  const value = TOKEN_HEX[name]
+  if (!value) throw new Error(`未登记的 token: ${name}（请先加入 TOKEN_HEX 并同步 theme/index.css）`)
+  return value
+}
+
+/**
+ * 生成带 alpha 的 8 位 hex。alpha 传 2 位十六进制（'15' = 21/255 ≈ 8%）。
+ * 与 `color + '15'` 等价，但把「必须 6 位 hex」这个约束显式化，避免误把 var() 传进来。
+ */
+export function tint(hex: string, alphaHex: string): string {
+  if (!/^#[0-9a-fA-F]{6}$/.test(hex)) {
+    throw new Error(`tint() 需要 6 位 hex（不能是 var() 或 3/8 位 hex）：${hex}`)
+  }
+  return `${hex}${alphaHex}`
+}
+
+/** 指标卡 / 待办项的色调组，与 theme/index.css 的 --tone-* 一一对应。 */
+export interface Tone {
+  /** 图标与图形用的鲜亮色 */
+  vivid: string
+  /** 文字用的可读色（压 soft 底 ≥4.5:1） */
+  ink: string
+  /** 浅底 */
+  soft: string
+}
+
+export const TONES: Record<string, Tone> = {
+  rose: { vivid: '#F45F68', ink: '#C0414A', soft: '#FFF0F1' },
+  amber: { vivid: '#E59A32', ink: '#8F5D0F', soft: '#FFF6E6' },
+  blue: { vivid: '#4A7CD4', ink: '#3A63B0', soft: '#EEF5FF' },
+  green: { vivid: '#2E9B68', ink: '#1F7A4F', soft: '#EDF8F1' },
+  purple: { vivid: '#8B63BC', ink: '#6B47A0', soft: '#F4EFFF' },
+  slate: { vivid: '#8A9099', ink: '#656C79', soft: '#F4F5F7' },
+  red: { vivid: '#D94A4A', ink: '#B8353A', soft: '#FFF6F6' },
+}

admin-web/src/utils/token.ts

@@ -0,0 +1,19 @@
+// 内存态访问令牌。
+//
+// 不再落地 localStorage：XSS 无法读取/外泄令牌，也无法改写伪造权限。
+// 生产环境由 HttpOnly Cookie（dy_op_at）抗 XSS 承载令牌；开发跨端口代理场景由本内存态经
+// Authorization 头承载。两者并存，互不冲突。
+
+let currentToken = ''
+
+export function getAccessToken(): string {
+  return currentToken
+}
+
+export function setAccessToken(token: string): void {
+  currentToken = token || ''
+}
+
+export function clearAccessToken(): void {
+  currentToken = ''
+}

admin-web/src/views/DashboardView.vue

@@ -157,11 +157,12 @@ import {
 } from '@element-plus/icons-vue'
 import { useAuthStore } from '@/stores/auth'
 import { createEmptyDashboard, loadDashboard } from '@/services/dashboard'
+import { BRAND_ACTIVITY_FALLBACK } from '@/brand'
 import type { DashboardActivity, DashboardModel } from '@/types/dashboard'
 
 const router = useRouter()
 const authStore = useAuthStore()
-const activityFallback = '/brand/activity-default.jpg'
+const activityFallback = BRAND_ACTIVITY_FALLBACK
 const dashboard = ref<DashboardModel>(createEmptyDashboard())
 const loading = ref(true)
 const fatalError = ref('')
@@ -282,9 +283,9 @@ onMounted(retryLoad)
 <style scoped>
 .dashboard-page {
   min-width: 0;
-  max-width: 1500px;
+  max-width: var(--admin-content-max-width);
   margin: 0 auto;
-  padding: 20px 26px 28px;
+  padding: var(--space-5) 26px 28px;
 }
 
 .dashboard-welcome {
@@ -292,33 +293,34 @@ onMounted(retryLoad)
   min-height: 66px;
   align-items: center;
   justify-content: space-between;
-  gap: 20px;
+  gap: var(--space-5);
 }
 
 .dashboard-welcome h1 {
-  font-size: 24px;
-  line-height: 1.25;
+  font-size: var(--font-size-3xl);
+  line-height: var(--font-line-snug);
 }
 
 .dashboard-welcome p {
   margin-top: 6px;
-  color: #78828b;
-  font-size: 13px;
+  color: var(--color-text-tertiary);
+  font-size: var(--font-size-sm);
 }
 
 .dashboard-date {
   display: flex;
   align-items: center;
   gap: 14px;
-  color: #7b858e;
-  font-size: 12px;
+  color: var(--color-text-tertiary);
+  font-size: var(--font-size-xs);
 }
 
 .dashboard-date small {
   padding: 6px 10px;
-  color: #d75a63;
-  background: #fff0f1;
-  border-radius: 999px;
+  color: var(--admin-coral-strong);
+  background: var(--admin-coral-soft);
+  border-radius: var(--border-radius-pill);
+  font-size: var(--font-size-micro);
 }
 
 .dashboard-loading,
@@ -334,7 +336,7 @@ onMounted(retryLoad)
 
 .metric-skeleton {
   height: 105px;
-  border-radius: 12px;
+  border-radius: var(--border-radius-md);
 }
 
 .dashboard-error,
@@ -342,14 +344,14 @@ onMounted(retryLoad)
 .dashboard-notice {
   display: flex;
   min-height: 48px;
-  margin: 8px 0 12px;
+  margin: var(--space-2) 0 var(--space-3);
   padding: 10px 14px;
   align-items: center;
   gap: 10px;
-  color: #6f5355;
-  background: #fff6f6;
-  border: 1px solid #f7dfe1;
-  border-radius: 11px;
+  color: var(--color-danger-strong);
+  background: var(--color-danger-soft);
+  border: 1px solid var(--color-border-danger);
+  border-radius: var(--border-radius-sm);
 }
 
 .dashboard-error > span,
@@ -362,7 +364,8 @@ onMounted(retryLoad)
 .dashboard-error small,
 .dashboard-forbidden small {
   margin-top: 3px;
-  color: #8c7d7e;
+  color: var(--color-text-tertiary);
+  font-size: var(--font-size-micro);
 }
 
 .dashboard-metrics {
@@ -374,33 +377,40 @@ onMounted(retryLoad)
   display: grid;
   min-width: 0;
   min-height: 108px;
-  padding: 14px 12px;
+  padding: 14px var(--space-3);
   grid-template-columns: 38px 1fr;
   align-items: center;
   gap: 9px;
   overflow: hidden;
   text-align: left;
   cursor: pointer;
-  background: #fff;
-  border: 1px solid rgba(235, 235, 238, 0.9);
-  border-radius: 12px;
-  transition: transform 0.18s ease, box-shadow 0.18s ease;
+  background: var(--color-bg-primary);
+  border: 1px solid var(--color-border);
+  border-radius: var(--border-radius-md);
+  transition: transform var(--motion-normal) var(--ease-standard),
+              box-shadow var(--motion-normal) var(--ease-standard);
 }
 
 .metric-card:hover {
-  box-shadow: 0 10px 24px rgba(68, 48, 55, 0.1);
+  box-shadow: var(--shadow-raise);
   transform: translateY(-2px);
 }
 
+.metric-card:active {
+  transform: translateY(0) scale(var(--press-scale));
+}
+
 .metric-card.unavailable {
   cursor: default;
   opacity: 0.72;
 }
 
+/* 图标字形属「有意义的非文本内容」，按 WCAG 需 ≥3:1。
+   原先用鲜亮色调压同色系浅底（amber 仅 2.2:1），统一改用 -ink 档（≥4.6:1）。 */
 .metric-icon,
 .todo-icon {
   display: grid;
-  color: var(--tone-color);
+  color: var(--tone-ink);
   background: var(--tone-soft);
   border-radius: 50%;
   place-items: center;
@@ -409,7 +419,7 @@ onMounted(retryLoad)
 .metric-icon {
   width: 38px;
   height: 38px;
-  font-size: 19px;
+  font-size: var(--font-size-xl);
 }
 
 .metric-copy {
@@ -420,24 +430,25 @@ onMounted(retryLoad)
 
 .metric-copy small {
   overflow: hidden;
-  color: #55616a;
-  font-size: 11px;
+  color: var(--color-text-secondary);
+  font-size: var(--font-size-xs);
   text-overflow: ellipsis;
   white-space: nowrap;
 }
 
 .metric-copy strong {
   margin-top: 3px;
-  color: #171a1d;
-  font-size: 25px;
+  color: var(--color-text-primary);
+  font-size: var(--font-size-3xl);
   line-height: 1;
 }
 
+/* 原为 9px（低于可读下限），提到 11px */
 .metric-copy em {
   margin-top: 6px;
   overflow: hidden;
-  color: var(--tone-color);
-  font-size: 9px;
+  color: var(--tone-ink);
+  font-size: var(--font-size-micro);
   font-style: normal;
   text-overflow: ellipsis;
   white-space: nowrap;
@@ -445,18 +456,20 @@ onMounted(retryLoad)
 
 .metric-arrow {
   position: absolute;
-  right: 8px;
-  bottom: 8px;
-  color: var(--tone-color);
-  font-size: 11px;
+  right: var(--space-2);
+  bottom: var(--space-2);
+  color: var(--tone-ink);
+  font-size: var(--font-size-micro);
 }
 
-.tone-rose { --tone-color: #f05e69; --tone-soft: #ffe9eb; }
-.tone-amber { --tone-color: #e58b39; --tone-soft: #fff1df; }
-.tone-blue { --tone-color: #568ce9; --tone-soft: #eaf2ff; }
-.tone-green { --tone-color: #4aad76; --tone-soft: #e9f7ef; }
-.tone-purple { --tone-color: #9c69df; --tone-soft: #f2eaff; }
-.tone-red { --tone-color: #ed5b64; --tone-soft: #ffe9eb; }
+/* 色调组改为引用 theme/index.css 的 --tone-*-ink / --tone-*-soft。
+   --tone-ink 是本组件内的局部变量（由下面各 tone-* 类赋值），供图标与文字统一取用。 */
+.tone-rose { --tone-ink: var(--tone-rose-ink); --tone-soft: var(--tone-rose-soft); }
+.tone-amber { --tone-ink: var(--tone-amber-ink); --tone-soft: var(--tone-amber-soft); }
+.tone-blue { --tone-ink: var(--tone-blue-ink); --tone-soft: var(--tone-blue-soft); }
+.tone-green { --tone-ink: var(--tone-green-ink); --tone-soft: var(--tone-green-soft); }
+.tone-purple { --tone-ink: var(--tone-purple-ink); --tone-soft: var(--tone-purple-soft); }
+.tone-red { --tone-ink: var(--tone-red-ink); --tone-soft: var(--tone-red-soft); }
 
 .dashboard-grid {
   display: grid;
@@ -467,11 +480,11 @@ onMounted(retryLoad)
 
 .dashboard-panel {
   min-width: 0;
-  padding: 14px 16px;
-  background: #fff;
-  border: 1px solid #e9edf0;
+  padding: 14px var(--space-4);
+  background: var(--color-bg-primary);
+  border: 1px solid var(--color-border);
   border-radius: var(--admin-card-radius);
-  box-shadow: 0 8px 20px rgba(48, 58, 67, 0.035);
+  box-shadow: var(--shadow-panel);
 }
 
 .panel-header {
@@ -479,42 +492,49 @@ onMounted(retryLoad)
   min-height: 30px;
   align-items: center;
   justify-content: space-between;
-  border-bottom: 1px solid #f0f1f2;
+  border-bottom: 1px solid var(--color-border-hairline);
 }
 
 .panel-header h2 {
   padding-bottom: 10px;
-  font-size: 16px;
+  font-size: var(--font-size-lg);
 }
 
 .panel-header h2 span {
   display: inline-grid;
-  min-width: 20px;
-  height: 20px;
+  min-width: var(--space-5);
+  height: var(--space-5);
   margin-left: 6px;
   padding: 0 5px;
-  color: #fff;
-  font-size: 10px;
-  line-height: 20px;
-  background: var(--admin-coral);
-  border-radius: 999px;
+  color: var(--color-text-inverse);
+  font-size: var(--font-size-micro);
+  line-height: var(--space-5);
+  background: var(--admin-coral-solid);
+  border-radius: var(--border-radius-pill);
   place-items: center;
 }
 
 .panel-header button {
   display: flex;
+  min-height: var(--tap-control);
   align-items: center;
-  gap: 4px;
-  color: #89929a;
-  font-size: 11px;
+  gap: var(--space-1);
+  color: var(--color-text-tertiary);
+  font-size: var(--font-size-xs);
   cursor: pointer;
   background: transparent;
   border: 0;
+  border-radius: var(--border-radius-xs);
+  transition: color var(--motion-fast) var(--ease-standard);
+}
+
+.panel-header button:hover {
+  color: var(--admin-coral-strong);
 }
 
 .panel-header > span {
-  color: #98a0a7;
-  font-size: 10px;
+  color: var(--color-text-tertiary);
+  font-size: var(--font-size-micro);
 }
 
 .todo-list,
@@ -534,12 +554,13 @@ onMounted(retryLoad)
   cursor: pointer;
   background: transparent;
   border: 0;
-  border-bottom: 1px solid #f2f3f4;
+  border-bottom: 1px solid var(--color-border-hairline);
+  transition: background var(--motion-fast) var(--ease-standard);
 }
 
 .todo-row:hover,
 .activity-row:hover {
-  background: #fffafa;
+  background: var(--color-bg-secondary);
 }
 
 .todo-icon {
@@ -559,8 +580,8 @@ onMounted(retryLoad)
 .todo-copy strong,
 .activity-copy strong {
   overflow: hidden;
-  color: #30373d;
-  font-size: 12px;
+  color: var(--color-text-primary);
+  font-size: var(--font-size-xs);
   text-overflow: ellipsis;
   white-space: nowrap;
 }
@@ -569,22 +590,22 @@ onMounted(retryLoad)
 .activity-copy small {
   margin-top: 3px;
   overflow: hidden;
-  color: #939ba2;
-  font-size: 9px;
+  color: var(--color-text-tertiary);
+  font-size: var(--font-size-micro);
   text-overflow: ellipsis;
   white-space: nowrap;
 }
 
 .todo-row > b {
   min-width: 29px;
-  color: var(--admin-coral);
-  font-size: 13px;
+  color: var(--admin-coral-strong);
+  font-size: var(--font-size-sm);
   text-align: center;
 }
 
 .todo-row > em {
-  color: var(--admin-coral);
-  font-size: 10px;
+  color: var(--admin-coral-strong);
+  font-size: var(--font-size-micro);
   font-style: normal;
 }
 
@@ -593,21 +614,21 @@ onMounted(retryLoad)
   height: 38px;
   flex: none;
   object-fit: cover;
-  border-radius: 7px;
+  border-radius: var(--border-radius-xs);
 }
 
 .activity-status {
   padding: 3px 6px;
-  color: #318b5a;
-  font-size: 9px;
-  background: #eaf7ef;
-  border-radius: 999px;
+  color: var(--color-success-strong);
+  font-size: var(--font-size-micro);
+  background: var(--color-success-soft);
+  border-radius: var(--border-radius-pill);
 }
 
 .activity-row > em {
   min-width: 76px;
-  color: #7d878f;
-  font-size: 9px;
+  color: var(--color-text-tertiary);
+  font-size: var(--font-size-micro);
   font-style: normal;
   text-align: right;
 }
@@ -619,47 +640,47 @@ onMounted(retryLoad)
   justify-content: center;
   flex-direction: column;
   gap: 10px;
-  color: #a0a7ad;
-  font-size: 11px;
+  color: var(--color-text-tertiary);
+  font-size: var(--font-size-xs);
 }
 
 .dashboard-empty .el-icon {
-  color: #d7dce0;
-  font-size: 34px;
+  color: var(--color-icon-muted);
+  font-size: var(--font-size-5xl);
 }
 
 .overview-grid {
   display: grid;
   min-height: 118px;
-  padding-top: 12px;
+  padding-top: var(--space-3);
   grid-template-columns: repeat(4, minmax(0, 1fr));
-  gap: 8px;
+  gap: var(--space-2);
 }
 
 .overview-grid > div {
   display: flex;
-  padding: 12px 10px;
+  padding: var(--space-3) 10px;
   align-items: center;
   justify-content: center;
   flex-direction: column;
   background: var(--tone-soft);
-  border-radius: 8px;
+  border-radius: var(--border-radius-sm);
 }
 
 .overview-grid small {
-  color: var(--tone-color);
-  font-size: 10px;
+  color: var(--tone-ink);
+  font-size: var(--font-size-micro);
 }
 
 .overview-grid strong {
   margin-top: 7px;
-  font-size: 24px;
+  font-size: var(--font-size-3xl);
 }
 
 .overview-grid em {
   margin-top: 7px;
-  color: #8a9298;
-  font-size: 9px;
+  color: var(--color-text-tertiary);
+  font-size: var(--font-size-micro);
   font-style: normal;
 }
 
@@ -674,52 +695,53 @@ onMounted(retryLoad)
   grid-template-columns: 92px 1fr 76px;
   align-items: center;
   gap: 9px;
-  font-size: 10px;
+  font-size: var(--font-size-micro);
 }
 
 .effectiveness-row > span {
-  color: #747e87;
+  color: var(--color-text-tertiary);
 }
 
+/* 轨道与填充的对比原为 2.53:1（条几乎看不出进度），改后 4.01:1 */
 .effectiveness-row > div {
-  height: 8px;
+  height: var(--space-2);
   overflow: hidden;
-  background: #fdebee;
-  border-radius: 999px;
+  background: var(--color-primary-light);
+  border-radius: var(--border-radius-pill);
 }
 
 .effectiveness-row i {
   display: block;
   height: 100%;
-  background: linear-gradient(90deg, #f56b75, #ef5a65);
+  background: var(--gradient-brand-bar);
   border-radius: inherit;
 }
 
 .effectiveness-row strong {
-  color: #75808a;
-  font-size: 10px;
-  font-weight: 500;
+  color: var(--color-text-tertiary);
+  font-size: var(--font-size-micro);
+  font-weight: var(--font-weight-medium);
   text-align: right;
 }
 
 @media (max-width: 1450px), (max-height: 820px) {
   .dashboard-page { padding: 12px 18px 20px; }
   .dashboard-welcome { min-height: 54px; }
-  .dashboard-welcome h1 { font-size: 20px; }
-  .dashboard-welcome p { margin-top: 3px; font-size: 11px; }
+  .dashboard-welcome h1 { font-size: var(--font-size-2xl); }
+  .dashboard-welcome p { margin-top: 3px; font-size: var(--font-size-xs); }
   .dashboard-metrics { margin-top: 6px; gap: 7px; }
-  .metric-card { min-height: 90px; padding: 10px 8px; grid-template-columns: 32px 1fr; gap: 6px; }
-  .metric-icon { width: 32px; height: 32px; font-size: 16px; }
-  .metric-copy strong { font-size: 21px; }
+  .metric-card { min-height: 90px; padding: 10px var(--space-2); grid-template-columns: var(--space-8) 1fr; gap: 6px; }
+  .metric-icon { width: var(--space-8); height: var(--space-8); font-size: var(--font-size-lg); }
+  .metric-copy strong { font-size: var(--font-size-2xl); }
   .dashboard-grid { margin-top: 9px; gap: 9px; }
-  .dashboard-panel { padding: 10px 12px; }
+  .dashboard-panel { padding: 10px var(--space-3); }
   .todo-list, .activity-list { min-height: 152px; }
-  .todo-row, .activity-row { min-height: 38px; padding: 4px; }
+  .todo-row, .activity-row { min-height: 38px; padding: var(--space-1); }
   .activity-row img { width: 58px; height: 31px; }
   .dashboard-grid-bottom .dashboard-panel { min-height: 150px; }
   .overview-grid, .effectiveness-list { min-height: 98px; }
-  .overview-grid > div { padding: 8px 6px; }
-  .overview-grid strong { font-size: 20px; }
+  .overview-grid > div { padding: var(--space-2) 6px; }
+  .overview-grid strong { font-size: var(--font-size-2xl); }
 }
 
 @media (max-width: 1180px) {

admin-web/src/views/LoginView.vue

@@ -1,10 +1,10 @@
 <template>
   <main class="login-shell">
     <section class="brand-panel" aria-label="善缘丹阳公益婚恋服务平台">
-      <img class="brand-scene" src="/brand/login-illustration.jpg" alt="" />
+      <img class="brand-scene" :src="BRAND_LOGIN_SCENE" alt="" />
       <div class="brand-overlay">
         <div class="brand-title">
-          <img src="/brand/logo-mark.png" alt="" />
+          <img :src="BRAND_LOGO" alt="" />
           <div>
             <strong>善缘丹阳</strong>
             <span>公益婚恋服务平台</span>
@@ -62,6 +62,7 @@
 
 <script setup lang="ts">
 import { reactive, ref } from 'vue'
+import { BRAND_LOGIN_SCENE, BRAND_LOGO } from '@/brand'
 import { useRouter } from 'vue-router'
 import { ElMessage } from 'element-plus'
 import type { FormInstance } from 'element-plus'
@@ -100,7 +101,7 @@ async function handleLogin() {
   display: grid;
   grid-template-columns: minmax(0, 1.25fr) minmax(420px, 0.75fr);
   min-height: 100vh;
-  background: #FFFFFF;
+  background: var(--color-bg-primary);
 }
 
 .brand-panel {
@@ -143,28 +144,28 @@ async function handleLogin() {
 
 .brand-title strong {
   color: var(--admin-primary);
-  font-size: 25px;
+  font-size: var(--font-size-3xl);
   letter-spacing: 2px;
 }
 
 .brand-title span {
   margin-top: 3px;
   color: var(--color-text-secondary);
-  font-size: 12px;
+  font-size: var(--font-size-xs);
 }
 
 .brand-message {
   max-width: 590px;
   padding: 26px 30px;
-  background: rgba(255, 255, 255, 0.86);
-  border: 1px solid rgba(255, 255, 255, 0.94);
+  background: var(--color-bg-overlay);
+  border: 1px solid var(--color-bg-overlay-strong);
   border-radius: 18px;
   backdrop-filter: blur(10px);
 }
 
 .brand-message p {
   color: var(--admin-primary);
-  font-weight: 650;
+  font-weight: var(--font-weight-semibold);
   letter-spacing: 3px;
 }
 
@@ -187,7 +188,7 @@ async function handleLogin() {
   align-items: center;
   justify-content: center;
   padding: 48px;
-  background: #FFFFFF;
+  background: var(--color-bg-primary);
 }
 
 .login-card {
@@ -200,14 +201,14 @@ async function handleLogin() {
 
 .eyebrow {
   color: var(--admin-primary);
-  font-size: 12px;
-  font-weight: 650;
+  font-size: var(--font-size-xs);
+  font-weight: var(--font-weight-semibold);
   letter-spacing: 1px;
 }
 
 .login-header h2 {
   margin-top: 10px;
-  font-size: 30px;
+  font-size: var(--font-size-5xl);
 }
 
 .login-header p {
@@ -227,7 +228,7 @@ async function handleLogin() {
   margin-top: 24px;
   padding: 14px 16px;
   color: var(--color-text-secondary);
-  font-size: 12px;
+  font-size: var(--font-size-xs);
   line-height: 1.6;
   background: var(--admin-soft-green);
   border-radius: 10px;
@@ -242,7 +243,7 @@ async function handleLogin() {
 footer {
   margin-top: 40px;
   color: var(--color-text-tertiary);
-  font-size: 12px;
+  font-size: var(--font-size-xs);
 }
 
 @media (max-width: 900px) {

admin-web/vite.config.ts

@@ -2,15 +2,25 @@ import { defineConfig } from 'vite'
 import vue from '@vitejs/plugin-vue'
 import { resolve } from 'path'
 
-export default defineConfig({
+export default defineConfig(({ command }) => ({
   plugins: [vue()],
+  // 管理端产物部署在 nginx 的 /admin/ 子路径下（见 infrastructure/nginx-production.conf
+  // 与 admin-web/nginx-admin.conf）。构建时必须带 /admin/ 前缀，否则 index.html 引用的
+  // /assets/*.js 会落到站点根路径，被生产 nginx 的其它 location 兜成 404 或错误页面。
+  // 开发服务器保持根路径：http://localhost:13520/ 的既有开发与排查习惯不变
+  // （vite 的 base 对 dev 与 build 各自生效，故此处按 command 分叉）。
+  base: command === 'build' ? '/admin/' : '/',
   resolve: {
     alias: {
       '@': resolve(__dirname, 'src'),
     },
   },
   server: {
-    port: 3000,
+    // 本机开发端口。避开 3000/8080/8081/8085 等被其他项目占用的常用端口。
+    port: 13520,
+    // 端口被占用时直接失败，而不是静默 +1 退到 13521。
+    // 静默漂移会让「文档写 13520、实际跑在别的端口」这种不一致无法被发现。
+    strictPort: true,
     proxy: {
       '/api': {
         target: 'http://localhost:8085',
@@ -18,4 +28,4 @@ export default defineConfig({
       },
     },
   },
-})
+}))

artifacts/miniapp-design-v2-preview.html

@@ -0,0 +1,649 @@
+<!DOCTYPE html>
+<html lang="zh-CN">
+<head>
+<meta charset="UTF-8" />
+<meta name="viewport" content="width=device-width, initial-scale=1" />
+<title>善缘丹阳 · 小程序设计系统 v2 改造对照</title>
+<style>
+  :root{
+    /* ── 与 miniapp/app.wxss 完全一致的 token（此处 1rpx = 0.5px，按 375pt 机型还原） ── */
+    --primary:#E96B6B; --primary-strong:#B8434A; --primary-solid:#C24C50; --primary-light:#FFF3F2;
+    --night-start:#172A72; --night-end:#25104F; --night-soft:#3445A1;
+    --accent-pink:#FF4F91; --accent-coral:#FF6A78;
+    --text-strong:#1A1F36; --text-primary:#2A3050; --text-secondary:#4A5169; --text-tertiary:#646C85;
+    --text-placeholder:#9AA1B4; --text-inverse:#FFFFFF;
+    --bg-page:#F6F5F3; --bg-card:#FFFFFF; --bg-subtle:#F5F6FA;
+    --border:#E6E8EF; --divider:#EFF0F5;
+    --accent-purple-strong:#7C60BC; --accent-purple-light:#F3EEFF;
+    --success-strong:#17805A; --success-light:#ECF8F2; --success-on-night:#A6F5D7;
+    --warning-strong:#9C5F14; --warning-light:#FFF7E9; --danger-strong:#C62828; --danger-light:#FFF0F0;
+    --info-strong:#2A5DB0; --info-light:#EEF4FF;
+    --glow-coral:rgba(255,79,145,.40); --glow-indigo:rgba(94,124,255,.32);
+    --star:rgba(255,255,255,.70); --glass:rgba(255,255,255,.10); --hairline:rgba(255,255,255,.16);
+    --glass-success:rgba(90,226,184,.16);
+    --shadow-card:0 4px 14px rgba(35,35,95,.07); --shadow-raised:0 6px 18px rgba(35,35,95,.10);
+    --shadow-night:0 8px 20px rgba(28,30,88,.18);
+    --grad-smoke:linear-gradient(135deg,#FF6A78 0%,#E96B6B 100%);
+    --grad-solid:linear-gradient(135deg,#C24C50 0%,#B8434A 100%);
+    --scrim:linear-gradient(90deg,rgba(23,42,114,.84) 0%,rgba(37,16,79,.40) 56%,rgba(255,79,145,.12) 100%);
+    /* 文档层配色 */
+    --doc-bg:#F1F3F8; --doc-panel:#FFFFFF; --doc-line:#E2E6EF; --doc-ink:#1A1F36; --doc-mute:#5C6480;
+  }
+  *{box-sizing:border-box;}
+  body{
+    margin:0;background:var(--doc-bg);color:var(--doc-ink);
+    font-family:-apple-system,"PingFang SC","Noto Sans SC","Microsoft YaHei",system-ui,sans-serif;
+    line-height:1.6;-webkit-font-smoothing:antialiased;
+  }
+  .wrap{max-width:1180px;margin:0 auto;padding:40px 24px 80px;}
+  h1{font-size:28px;margin:0 0 8px;letter-spacing:-.2px;}
+  h2{font-size:20px;margin:0 0 4px;}
+  h3{font-size:15px;margin:0 0 10px;}
+  .sub{color:var(--doc-mute);font-size:13.5px;margin:0;}
+  .meta{display:flex;flex-wrap:wrap;gap:8px;margin:18px 0 0;}
+  .chip{
+    display:inline-flex;align-items:center;gap:6px;padding:5px 11px;border-radius:999px;
+    background:#fff;border:1px solid var(--doc-line);font-size:12.5px;color:var(--doc-mute);
+  }
+  .chip b{color:var(--doc-ink);font-weight:600;}
+  .panel{background:var(--doc-panel);border:1px solid var(--doc-line);border-radius:14px;padding:22px 24px;margin-top:22px;}
+  .panel > p.lead{margin:6px 0 18px;color:var(--doc-mute);font-size:13.5px;}
+
+  /* 指标卡 */
+  .metrics{display:grid;grid-template-columns:repeat(auto-fit,minmax(178px,1fr));gap:14px;}
+  .metric{background:#fff;border:1px solid var(--doc-line);border-radius:12px;padding:16px 18px;}
+  .metric .k{font-size:12.5px;color:var(--doc-mute);}
+  .metric .v{font-size:24px;font-weight:700;margin:6px 0 2px;font-variant-numeric:tabular-nums;}
+  .metric .d{font-size:12.5px;color:var(--doc-mute);}
+  .up{color:var(--success-strong);} .flat{color:var(--doc-mute);}
+  .metric .from{color:var(--doc-mute);text-decoration:line-through;font-weight:500;font-size:16px;margin-left:6px;}
+
+  /* 手机模拟 */
+  .phones{display:flex;flex-wrap:wrap;gap:34px;justify-content:center;margin-top:8px;}
+  .phone-col{display:flex;flex-direction:column;align-items:center;gap:12px;}
+  .phone-tag{font-size:12.5px;padding:4px 12px;border-radius:999px;border:1px solid var(--doc-line);background:#fff;color:var(--doc-mute);}
+  .phone-tag.new{border-color:#C9E6D8;background:var(--success-light);color:var(--success-strong);font-weight:600;}
+  .phone{
+    width:375px;border-radius:30px;padding:9px;background:#15182B;
+    box-shadow:0 18px 44px rgba(20,24,50,.22),0 2px 6px rgba(20,24,50,.14);
+  }
+  .screen{width:100%;border-radius:22px;overflow:hidden;background:var(--bg-page);position:relative;}
+  .statusbar{height:22px;display:flex;align-items:center;justify-content:center;font-size:10px;color:rgba(255,255,255,.86);letter-spacing:.4px;}
+
+  /* ── 夜空头部：改造前（纯渐变） ── */
+  .night-a{
+    padding:0 12px 14px;
+    background:linear-gradient(160deg,var(--night-start),var(--night-end));
+    border-radius:0 0 21px 21px;box-shadow:var(--shadow-night);
+  }
+  /* ── 夜空头部：改造后（星点 + 双光晕 + 叠层） ── */
+  .night-b{
+    position:relative;overflow:hidden;padding:0 12px 16px;
+    background:
+      radial-gradient(circle at 12% 18%,rgba(255,255,255,.70) 0,transparent 1.25px),
+      radial-gradient(circle at 31% 66%,rgba(255,255,255,.70) 0,transparent 1px),
+      radial-gradient(circle at 57% 12%,rgba(255,255,255,.70) 0,transparent 1px),
+      radial-gradient(circle at 79% 52%,rgba(255,255,255,.70) 0,transparent 1.5px),
+      radial-gradient(circle at 93% 84%,rgba(255,255,255,.70) 0,transparent 1px),
+      linear-gradient(160deg,var(--night-start),var(--night-end));
+    border-radius:0 0 24px 24px;box-shadow:var(--shadow-night);
+  }
+  .night-b::before,.night-b::after{content:'';position:absolute;border-radius:50%;pointer-events:none;}
+  .night-b::before{top:-100px;right:-70px;width:280px;height:280px;
+    background:radial-gradient(circle,var(--glow-coral) 0%,transparent 68%);}
+  .night-b::after{bottom:-110px;left:-80px;width:310px;height:310px;
+    background:radial-gradient(circle,var(--glow-indigo) 0%,transparent 70%);}
+  .night-b > *{position:relative;z-index:1;}
+
+  .brand{min-height:56px;display:flex;align-items:center;justify-content:space-between;color:#fff;}
+  .brand-l{display:flex;align-items:center;}
+  .logo{width:33px;height:33px;border-radius:9px;background:linear-gradient(135deg,#FF7A88,#E96B6B);
+    display:flex;align-items:center;justify-content:center;font-size:13px;font-weight:700;color:#fff;flex:none;}
+  .logo.b{width:34px;height:34px;}
+  .brand-name-a{font-size:17px;font-weight:700;letter-spacing:1px;line-height:1.25;}
+  .brand-name-b{font-size:18px;font-weight:700;letter-spacing:2px;line-height:1.25;}
+  .brand-slo-a{font-size:12px;letter-spacing:2px;color:rgba(255,255,255,.72);}
+  .brand-slo-b{font-size:12px;letter-spacing:3px;color:rgba(255,255,255,.72);}
+  .msg{font-size:12.5px;}
+
+  /* 状态条 */
+  .strip-a{margin:2px 0 8px;padding:9px 10px;border:1px solid rgba(255,255,255,.16);
+    background:rgba(255,255,255,.09);border-radius:10px;color:#fff;display:flex;align-items:center;gap:8px;}
+  .strip-b{margin:4px 0 8px;padding:12px;border:1px solid var(--hairline);
+    background:var(--glass);border-radius:12px;color:#fff;display:flex;align-items:center;gap:8px;}
+  .st-copy{flex:1;min-width:0;}
+  .st-title-a{font-size:12.5px;font-weight:600;}
+  .st-title-b{font-size:14px;font-weight:600;line-height:1.25;}
+  .st-desc{font-size:12px;color:rgba(255,255,255,.72);line-height:1.4;margin-top:2px;}
+  .cta-a{flex:none;min-width:54px;padding:0 9px;height:24px;display:flex;align-items:center;justify-content:center;
+    border-radius:14px;background:var(--grad-smoke);font-size:12px;font-weight:600;}
+  .cta-b{flex:none;min-width:58px;padding:0 12px;height:44px;display:flex;align-items:center;justify-content:center;
+    border-radius:999px;background:var(--grad-solid);font-size:13px;font-weight:600;}
+  .checks{display:flex;gap:5px;overflow:hidden;}
+  .check-a{padding:4px 6px;border-radius:10px;background:rgba(255,255,255,.08);font-size:12px;color:rgba(255,255,255,.72);white-space:nowrap;}
+  .check-b{padding:4px 7px;border-radius:999px;background:var(--glass);font-size:12px;color:rgba(255,255,255,.72);white-space:nowrap;}
+  .check-b.done{background:var(--glass-success);color:var(--success-on-night);font-weight:600;}
+
+  /* 横幅 */
+  .banner-a{height:136px;border-radius:13px;overflow:hidden;position:relative;
+    background:linear-gradient(120deg,#2C3A82,#5A2C6E 62%,#B3487A);}
+  .banner-b{height:150px;border-radius:16px;overflow:hidden;position:relative;
+    background:linear-gradient(120deg,#2C3A82,#5A2C6E 62%,#B3487A);}
+  .banner-a .scrim,.banner-b .scrim{position:absolute;inset:0;}
+  .banner-a .scrim{background:linear-gradient(90deg,rgba(25,22,86,.78) 0%,rgba(43,22,101,.25) 58%,rgba(255,79,145,.08) 100%);}
+  .banner-b .scrim{background:var(--scrim);}
+  .banner-copy{position:absolute;left:12px;width:68%;display:flex;flex-direction:column;color:#fff;}
+  .banner-a .banner-copy{bottom:13px;}
+  .banner-b .banner-copy{bottom:20px;}
+  .kick{font-size:12px;letter-spacing:1.5px;color:rgba(255,255,255,.78);}
+  .bt-a{margin-top:4px;font-size:17.5px;font-weight:700;line-height:1.2;text-shadow:0 1.5px 5px rgba(0,0,0,.2);}
+  .bt-b{margin-top:5px;font-size:24px;font-weight:700;line-height:1.25;letter-spacing:.5px;text-shadow:0 2px 7px rgba(0,0,0,.22);}
+  .bs-a,.bs-b{margin-top:4px;font-size:12px;color:rgba(255,255,255,.84);}
+  .bs-b{font-size:13px;color:rgba(255,255,255,.72);margin-top:5px;}
+
+  /* 快捷入口 */
+  .entries{position:relative;z-index:2;background:#fff;margin:-7px 12px 0;}
+  .entries.a{border-radius:15px;padding:11px 5px 9px;box-shadow:0 4px 14px rgba(35,35,95,.07);}
+  .entries.b{border-radius:16px;padding:12px 4px 8px;box-shadow:var(--shadow-raised);}
+  .egrid{display:flex;flex-wrap:wrap;row-gap:8px;}
+  .eitem{width:25%;display:flex;flex-direction:column;align-items:center;justify-content:center;}
+  .eitem.a{min-height:52px;} .eitem.b{min-height:58px;}
+  .eicon{display:flex;align-items:center;justify-content:center;overflow:hidden;}
+  .eicon.a{width:33px;height:33px;border-radius:10px;background:var(--primary-light);font-size:15px;}
+  .eicon.b{width:36px;height:36px;border-radius:12px;background:var(--primary-light);font-size:16px;}
+  .elabel{margin-top:4px;color:var(--text-strong);}
+  .elabel.a{font-size:12px;font-weight:500;}
+  .elabel.b{font-size:13px;font-weight:500;}
+
+  /* 区块标题 */
+  .sec{padding:0 12px;}
+  .sec.a{margin-top:16px;} .sec.b{margin-top:20px;}
+  .shead{display:flex;align-items:center;justify-content:space-between;}
+  .shead.a{padding:11px 12px 11px 0;} .shead.b{padding:8px 0;}
+  .st-a{font-size:18px;font-weight:600;color:var(--text-primary);}
+  .st-b{font-size:20px;font-weight:600;color:var(--text-strong);}
+  .ssub{margin-left:8px;color:var(--text-tertiary);}
+  .ssub.a{font-size:13px;} .ssub.b{font-size:12px;}
+  .sact{display:flex;align-items:center;}
+  .sact.a{font-size:13px;color:var(--primary);height:18px;}
+  .sact.b{font-size:13px;color:var(--primary-strong);min-height:44px;padding-left:12px;font-weight:500;}
+  .caret{font-size:11px;margin-left:2px;}
+
+  /* 卡片 */
+  .card{background:#fff;display:flex;align-items:center;overflow:hidden;}
+  .card.a{border-radius:13px;box-shadow:0 4px 14px rgba(35,35,95,.07);}
+  .card.b{border-radius:16px;box-shadow:var(--shadow-card);}
+  .rec{display:flex;align-items:center;gap:8px;padding:7px 8px;}
+  .rec .av{width:44px;height:44px;border-radius:50%;background:linear-gradient(135deg,#D9D3F0,#BFC8EE);flex:none;}
+  .rec .info{flex:1;min-width:0;}
+  .rec .nm-a{font-size:13px;font-weight:700;color:var(--text-strong);}
+  .rec .nm-b{font-size:14px;font-weight:700;color:var(--text-strong);}
+  .rec .meta{font-size:12px;color:var(--text-tertiary);margin-top:2px;}
+  .rec .tags{display:flex;gap:4px;margin-top:4px;}
+  .rec .tag{padding:2px 5px;border-radius:6px;background:var(--accent-purple-light);color:var(--accent-purple-strong);font-size:12px;}
+  .heart-a{width:31px;height:31px;border-radius:50%;background:var(--primary-light);display:flex;align-items:center;justify-content:center;font-size:14px;}
+  .heart-b{width:44px;height:44px;border-radius:50%;background:var(--primary-light);display:flex;align-items:center;justify-content:center;font-size:16px;}
+  .divider{height:1px;background:var(--divider);}
+
+  /* 空态 */
+  .empty{background:#fff;display:flex;align-items:center;gap:8px;}
+  .empty.a{border-radius:13px;padding:11px;box-shadow:0 4px 14px rgba(35,35,95,.07);}
+  .empty.b{border-radius:16px;padding:12px;box-shadow:var(--shadow-card);}
+  .logo-s{width:38px;height:38px;border-radius:10px;background:var(--grad-smoke);flex:none;
+    display:flex;align-items:center;justify-content:center;color:#fff;font-size:13px;font-weight:700;}
+  .et-a{font-size:12.5px;font-weight:600;color:var(--text-strong);}
+  .et-b{font-size:14px;font-weight:600;color:var(--text-strong);}
+  .ed{font-size:12px;color:var(--text-tertiary);line-height:1.4;margin-top:2px;}
+  .ed.b{font-size:13px;}
+  .eacts{display:flex;flex-direction:column;gap:4px;}
+  .ebtn{display:flex;align-items:center;justify-content:center;border-radius:12px;}
+  .ebtn.a{min-width:56px;height:24px;padding:0 6px;font-size:12px;}
+  .ebtn.b{min-width:60px;height:44px;padding:0 8px;font-size:13px;font-weight:500;border-radius:999px;}
+  .ebtn.sec-a{color:var(--accent-purple-strong);background:var(--accent-purple-light);}
+  .ebtn.sec-b{color:var(--accent-purple-strong);background:var(--accent-purple-light);}
+  .ebtn.pri-a{color:#fff;background:var(--grad-smoke);}
+  .ebtn.pri-b{color:#fff;background:var(--grad-solid);}
+  .hidden-note{margin-top:8px;font-size:11.5px;color:var(--danger-strong);
+    background:var(--danger-light);border-radius:8px;padding:6px 8px;}
+  .fixed-note{margin-top:8px;font-size:11.5px;color:var(--success-strong);
+    background:var(--success-light);border-radius:8px;padding:6px 8px;}
+
+  /* 注释气泡 */
+  .callout{display:flex;gap:10px;align-items:flex-start;margin-top:14px;max-width:375px;}
+  .callout .bullet{flex:none;width:20px;height:20px;border-radius:50%;background:var(--primary-solid);color:#fff;
+    font-size:11.5px;display:flex;align-items:center;justify-content:center;font-weight:700;margin-top:1px;}
+  .callout .txt{font-size:12.5px;color:var(--doc-mute);}
+  .callout .txt b{color:var(--doc-ink);}
+
+  table{width:100%;border-collapse:collapse;font-size:13px;}
+  th,td{text-align:left;padding:9px 10px;border-bottom:1px solid var(--divider);vertical-align:top;}
+  th{color:var(--doc-mute);font-weight:600;font-size:12.5px;background:var(--bg-subtle);}
+  td code{background:var(--bg-subtle);border:1px solid var(--divider);border-radius:5px;padding:1px 5px;font-size:12px;}
+  .bad{color:var(--danger-strong);font-weight:600;}
+  .good{color:var(--success-strong);font-weight:600;}
+  .sw{display:inline-flex;align-items:center;gap:7px;}
+  .dot{width:14px;height:14px;border-radius:4px;border:1px solid rgba(0,0,0,.08);flex:none;}
+  ul.clean{margin:8px 0 0;padding-left:18px;font-size:13.5px;color:var(--text-secondary);}
+  ul.clean li{margin:5px 0;}
+  ul.clean code{background:var(--bg-subtle);border:1px solid var(--divider);border-radius:5px;padding:1px 5px;font-size:12px;}
+  .gate{display:flex;flex-wrap:wrap;gap:10px;}
+  .gate .g{flex:1 1 210px;border:1px solid #CFE9DC;background:var(--success-light);border-radius:11px;padding:12px 14px;}
+  .gate .g .n{font-size:19px;font-weight:700;color:var(--success-strong);}
+  .gate .g .l{font-size:12.5px;color:var(--text-secondary);margin-top:2px;}
+  .warnbox{border:1px solid #F2E3C4;background:var(--warning-light);border-radius:11px;padding:14px 16px;font-size:13px;color:#6B4E12;}
+  .warnbox b{color:var(--warning-strong);}
+  footer{margin-top:34px;font-size:12.5px;color:var(--doc-mute);text-align:center;}
+</style>
+</head>
+<body>
+<div class="wrap">
+
+  <h1>善缘丹阳 · 小程序设计系统 v2 改造对照</h1>
+  <p class="sub">以首页为样板页，展示「设计底座落地 + 氛围层 + 排版层级 + 可访问性」四类改动的实际效果。</p>
+  <div class="meta">
+    <span class="chip">基线 <b>main @ 825fd41</b></span>
+    <span class="chip">改动文件 <b>80</b></span>
+    <span class="chip">wxss 覆盖 <b>88 / 88</b></span>
+    <span class="chip">UI 契约门禁 <b>18 / 18 PASS</b></span>
+  </div>
+
+  <div class="panel">
+    <h2>一、量化指标</h2>
+    <p class="lead">改动前的问题不是「不够好看」，而是设计底座没落地 —— 88 个样式文件里 78% 绕过了 token。</p>
+    <div class="metrics">
+      <div class="metric">
+        <div class="k">页面层硬编码颜色</div>
+        <div class="v flat">0<span class="from">770</span></div>
+        <div class="d">仅 app.wxss 保留 56 个 token 定义色</div>
+      </div>
+      <div class="metric">
+        <div class="k">不可读字号（&lt;12px 非装饰）</div>
+        <div class="v flat">0<span class="from">140</span></div>
+        <div class="d">元信息下限统一到 24rpx(12px)</div>
+      </div>
+      <div class="metric">
+        <div class="k">非法字重（550/650/750）</div>
+        <div class="v flat">0<span class="from">30</span></div>
+        <div class="d">只保留 400/500/600/700 四档</div>
+      </div>
+      <div class="metric">
+        <div class="k">未定义的 token 引用</div>
+        <div class="v flat">0<span class="from">2</span></div>
+        <div class="d">此前静默失效（背景/过渡丢失）</div>
+      </div>
+      <div class="metric">
+        <div class="k">未达标文字对比度</div>
+        <div class="v flat">0<span class="from">41</span></div>
+        <div class="d">3.10:1 → 5.33:1</div>
+      </div>
+      <div class="metric">
+        <div class="k">白字压在浅渐变上的 CTA</div>
+        <div class="v flat">0<span class="from">10</span></div>
+        <div class="d">2.77:1 → 4.73:1</div>
+      </div>
+      <div class="metric">
+        <div class="k">品牌色实心底 + 白字</div>
+        <div class="v flat">0<span class="from">32</span></div>
+        <div class="d">按钮/标签/徽标统一换 solid 变体</div>
+      </div>
+      <div class="metric">
+        <div class="k">低于 44px 的触摸目标</div>
+        <div class="v flat">0<span class="from">42</span></div>
+        <div class="d">组件库按钮 40px、喜欢键 31px</div>
+      </div>
+    </div>
+  </div>
+
+  <div class="panel">
+    <h2>二、首页对照</h2>
+    <p class="lead">左侧是改造前（HEAD 版本的真实取值），右侧是改造后。两侧均用 app.wxss 里的真实 token 渲染，1rpx = 0.5px。</p>
+    <div class="phones">
+
+      <!-- ══════════ 改造前 ══════════ -->
+      <div class="phone-col">
+        <span class="phone-tag">改造前</span>
+        <div class="phone"><div class="screen">
+          <div class="night-a">
+            <div class="statusbar">9:41</div>
+            <div class="brand">
+              <div class="brand-l">
+                <div class="logo">善</div>
+                <div style="margin-left:6px">
+                  <div class="brand-name-a">善缘丹阳</div>
+                  <div class="brand-slo-a">公益婚恋服务平台</div>
+                </div>
+              </div>
+              <div class="msg">消息</div>
+            </div>
+            <div class="strip-a">
+              <div class="st-copy">
+                <div class="st-title-a">完善资料，开启安心相遇</div>
+                <div class="st-desc">补全 3 项信息即可进入推荐</div>
+              </div>
+              <div class="cta-a">去完善</div>
+            </div>
+            <div class="banner-a">
+              <div class="scrim"></div>
+              <div class="banner-copy">
+                <div class="kick">公益 · 本地 · 真实 · 安全</div>
+                <div class="bt-a">在丹阳，遇见更好的你</div>
+                <div class="bs-a">认真认识，温暖相伴</div>
+              </div>
+            </div>
+          </div>
+
+          <div class="entries a">
+            <div class="egrid">
+              <div class="eitem a"><div class="eicon a">❤</div><div class="elabel a">找对象</div></div>
+              <div class="eitem a"><div class="eicon a">🎈</div><div class="elabel a">活动</div></div>
+              <div class="eitem a"><div class="eicon a">👤</div><div class="elabel a">红娘</div></div>
+              <div class="eitem a"><div class="eicon a">📖</div><div class="elabel a">课堂</div></div>
+            </div>
+          </div>
+
+          <div class="sec a">
+            <div class="shead a">
+              <div><span class="st-a">今日推荐</span><span class="ssub a">为你认真筛选</span></div>
+              <div class="sact a">查看更多<span class="caret">›</span></div>
+            </div>
+            <div class="card a">
+              <div class="rec">
+                <div class="av"></div>
+                <div class="info">
+                  <div class="nm-a">林晓 · 28</div>
+                  <div class="meta">丹阳 · 教师 · 本科</div>
+                  <div class="tags"><span class="tag">同城</span><span class="tag">年龄相近</span></div>
+                </div>
+                <div class="heart-a">❤</div>
+              </div>
+              <div class="divider"></div>
+              <div class="rec">
+                <div class="av"></div>
+                <div class="info">
+                  <div class="nm-a">周敏 · 30</div>
+                  <div class="meta">丹阳 · 医护 · 硕士</div>
+                  <div class="tags"><span class="tag">同城</span></div>
+                </div>
+                <div class="heart-a">❤</div>
+              </div>
+            </div>
+          </div>
+        </div></div>
+
+        <div class="callout"><div class="bullet">1</div><div class="txt">
+          <b>夜空只有一条平渐变</b>：参考图里的暖粉光晕、星点、玻璃质感全部缺失，头部是「一块紫布」。
+        </div></div>
+        <div class="callout"><div class="bullet">2</div><div class="txt">
+          <b>层级读不出来</b>：hero 标题 17.5px、区块标题 18px、卡片标题 12.5px —— hero 与区块标题几乎同号。
+        </div></div>
+        <div class="callout"><div class="bullet">3</div><div class="txt">
+          <b>触摸目标不足</b>：「去完善」按钮高 24px、「查看更多」18px，远低于 44px 无障碍下限。
+        </div></div>
+        <div class="callout"><div class="bullet">4</div><div class="txt">
+          <b>对比度不达标</b>：CTA 白字压在珊瑚粉渐变上仅 <span class="bad">2.77:1</span>；文字链接 <code>#FF4F91</code> 仅 <span class="bad">3.10:1</span>。
+        </div></div>
+      </div>
+
+      <!-- ══════════ 改造后 ══════════ -->
+      <div class="phone-col">
+        <span class="phone-tag new">改造后</span>
+        <div class="phone"><div class="screen">
+          <div class="night-b">
+            <div class="statusbar">9:41</div>
+            <div class="brand">
+              <div class="brand-l">
+                <div class="logo b">善</div>
+                <div style="margin-left:8px">
+                  <div class="brand-name-b">善缘丹阳</div>
+                  <div class="brand-slo-b">公益婚恋服务平台</div>
+                </div>
+              </div>
+              <div class="msg">消息</div>
+            </div>
+            <div class="strip-b">
+              <div class="st-copy">
+                <div class="st-title-b">完善资料，开启安心相遇</div>
+                <div class="st-desc">补全 3 项信息即可进入推荐</div>
+              </div>
+              <div class="cta-b">去完善</div>
+            </div>
+            <div class="banner-b">
+              <div class="scrim"></div>
+              <div class="banner-copy">
+                <div class="kick">公益 · 本地 · 真实 · 安全</div>
+                <div class="bt-b">在丹阳，遇见更好的你</div>
+                <div class="bs-b">认真认识，温暖相伴</div>
+              </div>
+            </div>
+          </div>
+
+          <div class="entries b">
+            <div class="egrid">
+              <div class="eitem b"><div class="eicon b">❤</div><div class="elabel b">找对象</div></div>
+              <div class="eitem b"><div class="eicon b">🎈</div><div class="elabel b">活动</div></div>
+              <div class="eitem b"><div class="eicon b">👤</div><div class="elabel b">红娘</div></div>
+              <div class="eitem b"><div class="eicon b">📖</div><div class="elabel b">课堂</div></div>
+            </div>
+          </div>
+
+          <div class="sec b">
+            <div class="shead b">
+              <div><span class="st-b">今日推荐</span><span class="ssub b">为你认真筛选</span></div>
+              <div class="sact b">查看更多<span class="caret">›</span></div>
+            </div>
+            <div class="card b">
+              <div class="rec">
+                <div class="av"></div>
+                <div class="info">
+                  <div class="nm-b">林晓 · 28</div>
+                  <div class="meta">丹阳 · 教师 · 本科</div>
+                  <div class="tags"><span class="tag">同城</span><span class="tag">年龄相近</span></div>
+                </div>
+                <div class="heart-b">❤</div>
+              </div>
+              <div class="divider"></div>
+              <div class="rec">
+                <div class="av"></div>
+                <div class="info">
+                  <div class="nm-b">周敏 · 30</div>
+                  <div class="meta">丹阳 · 医护 · 硕士</div>
+                  <div class="tags"><span class="tag">同城</span></div>
+                </div>
+                <div class="heart-b">❤</div>
+              </div>
+            </div>
+          </div>
+        </div></div>
+
+        <div class="callout"><div class="bullet">1</div><div class="txt">
+          <b>三层叠加做成氛围</b>：<code>--mini-starfield</code> 星点 + 夜空渐变 + 两个定位光晕（右上珊瑚粉、左下靛蓝）。全部用 CSS 渐变，零图片、零额外请求。
+        </div></div>
+        <div class="callout"><div class="bullet">2</div><div class="txt">
+          <b>四级排版阶梯</b>：hero <b>24px/700</b> &gt; 区块标题 <b>20px/600</b> &gt; 卡片标题 <b>14px/600</b> &gt; 元信息 12px。
+        </div></div>
+        <div class="callout"><div class="bullet">3</div><div class="txt">
+          <b>触摸目标全部达标</b>：CTA 44px；区块标题右侧「查看更多」由 18px 提到 44px 热区，且热区向左补白不挤压标题。
+        </div></div>
+        <div class="callout"><div class="bullet">4</div><div class="txt">
+          <b>对比度达标</b>：CTA 换 <code>--gradient-brand-solid</code> → <span class="good">4.73:1</span>；文字链接换 <code>--color-primary-strong</code> → <span class="good">5.33:1</span>。
+        </div></div>
+        <div class="callout"><div class="bullet">5</div><div class="txt">
+          <b>标题与卡片对齐</b>：旧版标题比卡片多缩进 32rpx（.section 的 24rpx 与组件自带 32rpx 叠加），安全提醒卡还因 <code>padding:0</code> 顶到屏幕边缘。
+        </div></div>
+      </div>
+
+    </div>
+  </div>
+
+  <div class="panel">
+    <h2>三、小屏（≤340px）的行为差异</h2>
+    <p class="lead">这是本轮改动里唯一一处「功能级」缺陷修复，值得单独看。</p>
+    <div style="display:flex;gap:34px;flex-wrap:wrap;justify-content:center">
+      <div class="phone-col">
+        <span class="phone-tag">改造前</span>
+        <div class="phone" style="width:320px"><div class="screen" style="background:var(--bg-page);padding-bottom:12px">
+          <div style="background:linear-gradient(160deg,var(--night-start),var(--night-end));height:70px;border-radius:0 0 21px 21px"></div>
+          <div class="entries a" style="margin-top:-7px">
+            <div class="egrid">
+              <div class="eitem a"><div class="eicon a">❤</div><div class="elabel a">找对象</div></div>
+              <div class="eitem a"><div class="eicon a">🎈</div><div class="elabel a">活动</div></div>
+              <div class="eitem a"><div class="eicon a">👤</div><div class="elabel a">红娘</div></div>
+              <div class="eitem a"><div class="eicon a">📖</div><div class="elabel a">课堂</div></div>
+            </div>
+          </div>
+          <div class="sec a">
+            <div class="empty a">
+              <div class="logo-s">善</div>
+              <div style="flex:1;min-width:0">
+                <div class="et-a">暂时没有完全符合的人</div>
+                <div class="ed">我们坚持 Required 条件</div>
+              </div>
+              <div style="width:56px"></div>
+            </div>
+            <div class="hidden-note">@media (max-width:340px){ .empty-actions{display:none} } —— 两个操作入口整块消失</div>
+          </div>
+        </div></div>
+      </div>
+      <div class="phone-col">
+        <span class="phone-tag new">改造后</span>
+        <div class="phone" style="width:320px"><div class="screen" style="background:var(--bg-page);padding-bottom:12px">
+          <div style="background:linear-gradient(160deg,var(--night-start),var(--night-end));height:70px;border-radius:0 0 24px 24px"></div>
+          <div class="entries b" style="margin-top:-7px">
+            <div class="egrid">
+              <div class="eitem b"><div class="eicon b">❤</div><div class="elabel b">找对象</div></div>
+              <div class="eitem b"><div class="eicon b">🎈</div><div class="elabel b">活动</div></div>
+              <div class="eitem b"><div class="eicon b">👤</div><div class="elabel b">红娘</div></div>
+              <div class="eitem b"><div class="eicon b">📖</div><div class="elabel b">课堂</div></div>
+            </div>
+          </div>
+          <div class="sec b">
+            <div class="empty b">
+              <div class="logo-s">善</div>
+              <div style="flex:1;min-width:0">
+                <div class="et-b">暂时没有完全符合的人</div>
+                <div class="ed b">我们坚持 Required 条件</div>
+              </div>
+              <div class="eacts">
+                <div class="ebtn sec-b">调整条件</div>
+                <div class="ebtn pri-b">公益红娘</div>
+              </div>
+            </div>
+            <div class="fixed-note">小屏只收紧尺寸与字号，不再砍掉任何入口</div>
+          </div>
+        </div></div>
+      </div>
+    </div>
+  </div>
+
+  <div class="panel">
+    <h2>四、设计 token 变更要点</h2>
+    <p class="lead">品牌色分级是这一版最重要的结构性决定：基础品牌色 <code>#E96B6B</code> 无论做背景还是做文字都不满足 4.5:1，因此拆成三个语义层。</p>
+    <table>
+      <thead><tr><th style="width:230px">Token</th><th style="width:130px">取值</th><th style="width:110px">对比度</th><th>用途限制</th></tr></thead>
+      <tbody>
+        <tr>
+          <td><span class="sw"><span class="dot" style="background:#E96B6B"></span><code>--color-primary</code></span></td>
+          <td><code>#E96B6B</code></td><td class="bad">3.10:1</td>
+          <td>仅大色块、渐变、光晕、图标底。禁止承载文字。</td>
+        </tr>
+        <tr>
+          <td><span class="sw"><span class="dot" style="background:#B8434A"></span><code>--color-primary-strong</code></span></td>
+          <td><code>#B8434A</code></td><td class="good">5.33:1</td>
+          <td>所有品牌色文字、小图标、纯文字链接。</td>
+        </tr>
+        <tr>
+          <td><span class="sw"><span class="dot" style="background:#C24C50"></span><code>--color-primary-solid</code></span></td>
+          <td><code>#C24C50</code></td><td class="good">4.73:1</td>
+          <td>实心按钮底（配白字）、小徽标底色。</td>
+        </tr>
+        <tr>
+          <td><code>--gradient-brand</code></td>
+          <td>#FF6A78 → #E96B6B</td><td class="bad">2.77:1</td>
+          <td>明亮活泼，仅装饰填充，不得压白字。</td>
+        </tr>
+        <tr>
+          <td><code>--gradient-brand-solid</code></td>
+          <td>#C24C50 → #B8434A</td><td class="good">4.73 ~ 5.33</td>
+          <td>所有承载白字的 CTA 渐变（本轮新增）。</td>
+        </tr>
+        <tr>
+          <td><code>--color-text-tertiary</code></td>
+          <td>#777 → <code>#646C85</code></td><td class="good">5.22:1</td>
+          <td>说明文字。旧值 4.48:1 卡在阈值下沿。</td>
+        </tr>
+        <tr>
+          <td><code>--mini-glow-coral</code> / <code>--mini-glow-indigo</code></td>
+          <td>rgba 粉 / 蓝</td><td class="flat">—</td>
+          <td>夜空光晕层（本轮新增，参考图关键特征）。</td>
+        </tr>
+        <tr>
+          <td><code>--mini-starfield</code></td>
+          <td>5 个径向渐变</td><td class="flat">—</td>
+          <td>星点层（本轮新增），叠在夜空渐变之上。</td>
+        </tr>
+        <tr>
+          <td><code>--mini-glass</code> / <code>--mini-hairline</code></td>
+          <td>rgba(255,255,255,.10/.16)</td><td class="flat">—</td>
+          <td>深底玻璃面与分隔线（本轮新增）。</td>
+        </tr>
+        <tr>
+          <td><code>--tap-min</code> / <code>--tap-gap</code></td>
+          <td>88rpx / 16rpx</td><td class="flat">44px</td>
+          <td>触摸目标下限与最小间距（本轮新增）。</td>
+        </tr>
+        <tr>
+          <td><code>--ease-spring</code> / <code>--press-scale</code></td>
+          <td>cubic-bezier(.34,1.4,.64,1) / 0.97</td><td class="flat">—</td>
+          <td>按压回弹与缩放（本轮新增）。</td>
+        </tr>
+      </tbody>
+    </table>
+  </div>
+
+  <div class="panel">
+    <h2>五、本轮修掉的实质缺陷</h2>
+    <p class="lead">不只是样式替换 —— 其中三条是会被静默吞掉的语法级错误。</p>
+    <ul class="clean">
+      <li><b>3 处声明粘连（脚本副作用）</b>：<code>recommend-card</code>、<code>discover</code>、<code>service-station</code> 里出现
+        <code>box-shadow:…rgba(255,79,145,.18)min-width:var(--tap-min);</code> 这类<b>缺少分号</b>的合并声明。
+        浏览器会把整条声明判为非法并丢弃 —— 于是「喜欢」按钮的 44px 热区与阴影双双静默失效，
+        而花括号平衡、hex 配额等所有静态检查仍然全绿。</li>
+      <li><b>2 处引用了不存在的 token</b>：<code>--button-press-feedback</code>、<code>--color-bg-input</code> 此前从未定义，
+        导致过渡动画与输入框背景直接失效（无报错、无告警）。</li>
+      <li><b>小屏砍掉操作入口</b>：<code>@media (max-width:340px)</code> 里 <code>.empty-actions{display:none}</code>，
+        在窄屏机型上把「调整条件 / 公益红娘」两个入口整块移除，属功能级缺陷。</li>
+      <li><b>安全提醒卡错位</b>：旧版 <code>.safety-card{padding:0}</code> 覆盖了 <code>.section</code> 的左右内边距，
+        该卡片比其它区块宽 48rpx、直接贴到屏幕边缘。</li>
+      <li><b>触摸目标普遍不足</b>：组件库主按钮 40px、小号 28px、纯文字变体 <code>min-height:auto</code>、
+        「喜欢」键 31px、区块标题右侧 action 18px —— 全站已统一到 44px 下限。</li>
+      <li><b>对比度系统性不达标</b>：41 处把品牌基础色当文字用（3.10:1）、32 处把基础色做实心底压白字、
+        10 处白字压在明亮渐变上（2.77:1）。已按「文字用 strong / 实心底用 solid / 渐变按是否压字分流」三类语义收敛。</li>
+      <li><b>字重机型不一致</b>：30 处 550/650/750 在 Android 无对应字重会回退，同一设计在不同机型上粗细不一致。</li>
+    </ul>
+  </div>
+
+  <div class="panel">
+    <h2>六、验证结果</h2>
+    <p class="lead">以下为实际执行结果，非声明性描述。</p>
+    <div class="gate">
+      <div class="g"><div class="n">18 / 18</div><div class="l">UI 契约门禁全部通过（源码结构 + 关键行为断言）</div></div>
+      <div class="g"><div class="n">0</div><div class="l">未定义的 token 引用（扫描 88 个 wxss / 131 个 token）</div></div>
+      <div class="g"><div class="n">88 / 88</div><div class="l">wxss 文件通过声明级体检（无粘连、无空规则、括号平衡）</div></div>
+      <div class="g"><div class="n">0</div><div class="l">app.wxss 之外的硬编码颜色（56 个 hex 全部是 token 定义）</div></div>
+      <div class="g"><div class="n">0</div><div class="l">非百位字重 / 非装饰类不可读字号</div></div>
+      <div class="g"><div class="n">88 / 88</div><div class="l">文件编码统一为 UTF-8 无 BOM（与仓库既有约定一致）</div></div>
+    </div>
+    <div class="warnbox" style="margin-top:16px">
+      <b>尚未验证的部分（不作已验收）</b><br />
+      · 本页是<b>静态还原</b>，用真实 token 值复刻布局，不是小程序真机截图；动态横幅轮播、真实数据、字号在真实设备上的渲染需要在小程序开发者工具里目视确认。<br />
+      · 氛围层用到的 <code>background</code> 多层渐变与 <code>radial-gradient</code> 需要在真机（iOS / Android 各一台）复验，尤其确认低端机上不出现色带。<br />
+      · 布局类改动（首页重做、标题热区加高、触摸目标统一为 44px）尚无自动化视觉回归，需要人工过一遍主要页面。
+    </div>
+  </div>
+
+  <footer>
+    善缘丹阳公益婚恋服务平台 · 小程序设计系统 v2 · 生成于 2026-09-22 · 基线 main @ 825fd41
+  </footer>
+</div>
+</body>
+</html>

backend/maven-settings.xml

@@ -1,11 +1,49 @@
 <?xml version="1.0" encoding="UTF-8"?>
 <settings xmlns="http://maven.apache.org/SETTINGS/1.0.0">
-  <mirrors>
-    <mirror>
-      <id>central</id>
-      <mirrorOf>central</mirrorOf>
-      <name>Maven Central</name>
-      <url>https://repo1.maven.org/maven2</url>
-    </mirror>
-  </mirrors>
+  <!--
+    本地构建必须走 aliyun 镜像：本机 Maven Central（repo1.maven.org）被 DNS 投毒，
+    TLS 握手被中断（"Remote host terminated the handshake"），直连 central 必然失败。
+    aliyun 作为主源、central 作为兜底（仅当 aliyun 缺失某构件时才回退，正常构件不会触达 central）。
+    CI runner 能直连 central，但 aliyun 同样可达，故该配置对 CI 也无害。
+  -->
+  <profiles>
+    <profile>
+      <id>aliyun-with-central-fallback</id>
+      <repositories>
+        <repository>
+          <id>aliyun-public</id>
+          <name>Aliyun Public</name>
+          <url>https://maven.aliyun.com/repository/public</url>
+          <releases><enabled>true</enabled></releases>
+          <snapshots><enabled>false</enabled></snapshots>
+        </repository>
+        <repository>
+          <id>central</id>
+          <name>Maven Central</name>
+          <url>https://repo.maven.apache.org/maven2</url>
+          <releases><enabled>true</enabled></releases>
+          <snapshots><enabled>false</enabled></snapshots>
+        </repository>
+      </repositories>
+      <pluginRepositories>
+        <pluginRepository>
+          <id>aliyun-plugin-public</id>
+          <name>Aliyun Plugin Public</name>
+          <url>https://maven.aliyun.com/repository/public</url>
+          <releases><enabled>true</enabled></releases>
+          <snapshots><enabled>false</enabled></snapshots>
+        </pluginRepository>
+        <pluginRepository>
+          <id>central-plugin</id>
+          <name>Maven Central Plugins</name>
+          <url>https://repo.maven.apache.org/maven2</url>
+          <releases><enabled>true</enabled></releases>
+          <snapshots><enabled>false</enabled></snapshots>
+        </pluginRepository>
+      </pluginRepositories>
+    </profile>
+  </profiles>
+  <activeProfiles>
+    <activeProfile>aliyun-with-central-fallback</activeProfile>
+  </activeProfiles>
 </settings>

backend/pom.xml

@@ -13,9 +13,9 @@
 
     <groupId>com.danyang.match</groupId>
     <artifactId>danyang-match-platform</artifactId>
-    <version>1.0.0-RC.1</version>
+    <version>1.1.0</version>
     <name>Danyang Match Platform</name>
-    <description>丹阳公益婚恋服务平台 V1.0 - Backend</description>
+    <description>丹阳公益婚恋服务平台 V1.1 - Backend</description>
 
     <properties>
         <java.version>21</java.version>

backend/src/main/java/com/danyang/match/platform/AppController.java

@@ -1,5 +1,8 @@
 package com.danyang.match.platform.shared.dto;
 
+import com.danyang.match.platform.shared.policy.MatchingPolicy;
+import com.danyang.match.platform.shared.policy.ProfilePolicy;
+import lombok.RequiredArgsConstructor;
 import org.springframework.web.bind.annotation.*;
 
 import java.util.HashMap;
@@ -11,8 +14,12 @@ import java.util.Map;
  */
 @RestController
 @RequestMapping("/app")
+@RequiredArgsConstructor
 public class AppController {
 
+    private final ProfilePolicy profilePolicy;
+    private final MatchingPolicy matchingPolicy;
+
     /**
      * 获取应用配置
      * GET /api/v1/app/config
@@ -36,13 +43,17 @@ public class AppController {
         config.put("features", features);
 
         // 业务限制参数
+        // 注：maxProfilePhotos / matchScoreThreshold 改由统一配置源（ProfilePolicy / MatchingPolicy）
+        //     下发，禁止在此写死（PROFILE-001 / MATCH-001）。其余项（dailyRecommendationLimit、
+        //     maxInterestTags、selfIntroMaxLength、recommendationCooldownDays）本轮未纳入，
+        //     仍为硬编码，已在 config-drift-audit 中登记为「待统一」未来项。
         Map<String, Object> businessLimits = new HashMap<>();
         businessLimits.put("dailyRecommendationLimit", 6);
-        businessLimits.put("maxProfilePhotos", 6);
+        businessLimits.put("maxProfilePhotos", profilePolicy.getMaxPhotoCount());
         businessLimits.put("maxInterestTags", 8);
         businessLimits.put("selfIntroMaxLength", 500);
         businessLimits.put("recommendationCooldownDays", 180);
-        businessLimits.put("matchScoreThreshold", 60);
+        businessLimits.put("matchScoreThreshold", matchingPolicy.getRecommendationMinScore());
         config.put("businessLimits", businessLimits);
 
         // 审核相关

backend/src/main/java/com/danyang/match/platform/account/controller/AccountRetentionOperatorController.java

@@ -0,0 +1,52 @@
+package com.danyang.match.platform.account.controller;
+
+import com.danyang.match.platform.account.service.DataRetentionService;
+import com.danyang.match.platform.shared.dto.ApiResponse;
+import com.danyang.match.platform.shared.security.principal.OperatorPrincipal;
+import lombok.RequiredArgsConstructor;
+import org.springframework.security.access.prepost.PreAuthorize;
+import org.springframework.security.core.annotation.AuthenticationPrincipal;
+import org.springframework.web.bind.annotation.*;
+
+import java.util.List;
+import java.util.Map;
+
+/**
+ * 注销数据到期处置（Operator 端，2026-09-19 数据保留决策落地）。
+ *
+ * <p>权限 {@code account.retention.purge}（V049）仅授予 super_admin ——
+ * 处置不可逆，不做批量授权。流程为「人工审核」模式：先查到期清单，
+ * 运营确认后逐个执行；保留期内（产品确认下限 36 个月）的账号服务端拒绝处置。
+ */
+@RestController
+@RequestMapping("/operator/account/retention")
+@RequiredArgsConstructor
+public class AccountRetentionOperatorController {
+
+    private final DataRetentionService dataRetentionService;
+
+    /**
+     * 保留期已满的注销账号清单
+     * GET /api/v1/operator/account/retention/due
+     */
+    @GetMapping("/due")
+    @PreAuthorize("hasAuthority('account.retention.purge')")
+    public ApiResponse<List<Map<String, Object>>> dueAccounts() {
+        return ApiResponse.ok(dataRetentionService.listDueAccounts());
+    }
+
+    /**
+     * 执行到期匿名化清除（幂等）
+     * POST /api/v1/operator/account/retention/{userId}/purge
+     */
+    @PostMapping("/{userId}/purge")
+    @PreAuthorize("hasAuthority('account.retention.purge')")
+    public ApiResponse<Map<String, Object>> purge(
+            @AuthenticationPrincipal OperatorPrincipal principal,
+            @PathVariable String userId) {
+        if (principal == null) {
+            return ApiResponse.unauthorized();
+        }
+        return ApiResponse.ok(dataRetentionService.purgeExpired(userId, principal.id()));
+    }
+}

backend/src/main/java/com/danyang/match/platform/account/service/AccountLifecycleService.java

@@ -10,6 +10,7 @@ import com.danyang.match.platform.activity.mapper.ActivityRegistrationMapper;
 import com.danyang.match.platform.match.mapper.RecommendationRecordMapper;
 import com.danyang.match.platform.notification.service.NotificationService;
 import com.danyang.match.platform.profile.mapper.UserProfileMapper;
+import com.danyang.match.platform.profile.service.PrivacyService;
 import com.danyang.match.platform.risk.mapper.ReportMapper;
 import com.danyang.match.platform.risk.mapper.RiskActionMapper;
 import com.danyang.match.platform.shared.constant.Constants;
@@ -38,6 +39,8 @@ import org.springframework.transaction.annotation.Transactional;
 
 import java.time.Instant;
 import java.util.*;
+import com.danyang.match.platform.shared.enums.ApiResponseCode;
+import com.danyang.match.platform.shared.exception.GlobalExceptionHandler.BusinessException;
 
 /**
  * 账号生命周期服务
@@ -68,6 +71,7 @@ public class AccountLifecycleService {
 
     private final UserMapper userMapper;
     private final UserProfileMapper userProfileMapper;
+    private final PrivacyService privacyService;
     private final ActivityRegistrationMapper registrationMapper;
     private final RecommendationRecordMapper recommendationRecordMapper;
     private final ReportMapper reportMapper;
@@ -83,6 +87,7 @@ public class AccountLifecycleService {
     private final ChatService chatService;
     private final UserIdentityMapper userIdentityMapper;
     private final CounselingFollowupMapper counselingFollowupMapper;
+    private final com.danyang.match.platform.matchmaker.mapper.MatchmakerServiceMapper matchmakerServiceMapper;
 
     // ==================== 退出婚恋服务（暂停推荐） ====================
 
@@ -94,7 +99,7 @@ public class AccountLifecycleService {
     public Map<String, Object> withdrawDatingService(String userId, String operatorId) {
         User user = userMapper.selectById(userId);
         if (user == null) {
-            throw new RuntimeException("用户不存在");
+            throw new BusinessException(ApiResponseCode.NOT_FOUND, "用户不存在");
         }
 
         // 检查是否有进行中的Match（不能直接退出）
@@ -132,7 +137,7 @@ public class AccountLifecycleService {
     public Map<String, Object> resumeDatingService(String userId) {
         User user = userMapper.selectById(userId);
         if (user == null) {
-            throw new RuntimeException("用户不存在");
+            throw new BusinessException(ApiResponseCode.NOT_FOUND, "用户不存在");
         }
         user.setRecommendationEnabled(true);
         user.setRelationshipStatus(Constants.RELATIONSHIP_STATUS_SEARCHING);
@@ -159,13 +164,14 @@ public class AccountLifecycleService {
     public Map<String, Object> checkCanWithdraw(String userId) {
         User user = userMapper.selectById(userId);
         if (user == null) {
-            throw new RuntimeException("用户不存在");
+            throw new BusinessException(ApiResponseCode.NOT_FOUND, "用户不存在");
         }
 
         Map<String, Object> blockers = new HashMap<>();
 
-        // 检查是否有进行中的红娘服务
-        long activeMatchmakerServices = 0; // 需要 MatchmakerServiceMapper
+        // 检查是否有进行中的红娘服务（2e 接线：原硬编码 0，blocker 从未生效）。
+        // 状态口径 = 生产 chk_matchmaker_status 白名单的非终态值（submitted/assigned/in_service/waiting_user）。
+        long activeMatchmakerServices = matchmakerServiceMapper.countActiveByUserId(userId);
         if (activeMatchmakerServices > 0) {
             blockers.put("matchmakerService", "您有进行中的红娘服务，请先完成或取消");
         }
@@ -243,7 +249,7 @@ public class AccountLifecycleService {
     public Map<String, Object> closeAccount(String userId, String operatorId, String reason) {
         User user = userMapper.selectById(userId);
         if (user == null) {
-            throw new RuntimeException("用户不存在");
+            throw new BusinessException(ApiResponseCode.NOT_FOUND, "用户不存在");
         }
 
         // 1. 注销前检查（信息性，不阻断）：让 GET /can-withdraw 能把待处理业务展示给用户/运营。
@@ -268,8 +274,8 @@ public class AccountLifecycleService {
         // 2b. 通知所有活跃 Match 对方
         notifyActiveMatches(user.getId(), "account_closed");
 
-        // 2c. 通知红娘（如果有）
-        notifyMatchmaker(user.getId());
+        // 2c. 终止残留红娘服务（竞态兜底，见方法注释；不能向 operator 发通知——Phase 18 D2 FK 教训）
+        terminateActiveMatchmakerServices(user.getId());
 
         // 2d. 取消所有未开始的活动报名
         cancelPendingActivityRegistrations(userId);
@@ -294,6 +300,9 @@ public class AccountLifecycleService {
 
         // 4. 记录退出时间
         Instant now = Instant.now();
+        // V049：注销时间落库 —— 数据保留到期（closed_at + account.data-retention-months，
+        // 产品 2026-09-19 确认下限 36 个月）由此起算；此前只存在于日志，保留期无法计算。
+        user.setClosedAt(now);
         user.setUpdatedAt(now);
         userMapper.updateById(user);
 
@@ -325,7 +334,7 @@ public class AccountLifecycleService {
     public Map<String, Object> withdrawConsent(String userId, String consentType) {
         ConsentRecord record = consentRecordMapper.findByUserAndType(userId, consentType).orElse(null);
         if (record == null) {
-            throw new RuntimeException("未找到该同意记录");
+            throw new BusinessException(ApiResponseCode.NOT_FOUND, "未找到该同意记录");
         }
         record.setAgreed(false);
         consentRecordMapper.updateById(record);
@@ -342,26 +351,57 @@ public class AccountLifecycleService {
     // ==================== 隐私设置 ====================
 
     /**
-     * 获取隐私设置
+     * 小程序 privacy-settings 页的契约键集（产品裁定：隐私设置键集<b>以小程序为准</b>）。
+     * 用于入参校验：未知键宽容忽略，但<b>已知键类型错误必须显式报错</b> ——
+     * 若静默丢弃，用户会看到"保存成功"而实际未生效，这类缺陷最难排查。
+     */
+    private static final Set<String> PRIVACY_KEYS =
+            Set.of("visibleInRecommendations", "allowActivityInvitation", "showLastOnline");
+
+    /**
+     * 获取隐私设置。
+     *
+     * <p>原为 TODO 桩：永远返回写死的默认值、<b>不读库</b>，用户改过的设置读不回来。
+     * 现委托 {@link PrivacyService} 读真实 {@code user_privacy_settings}。
      */
     public Map<String, Object> getPrivacySettings(String userId) {
-        // TODO: Phase 21 实现 user_privacy_settings 查询
-        Map<String, Object> settings = new HashMap<>();
-        settings.put("visibleInRecommendations", true);
-        settings.put("allowActivityInvitation", true);
-        settings.put("showLastOnline", false);
-        return settings;
+        return new HashMap<>(privacyService.getPrivacySettings(userId));
     }
 
     /**
-     * 更新隐私设置
+     * 更新隐私设置。
+     *
+     * <p>原为 TODO 桩：只回 {@code {updated:true}}、<b>不落库</b>，
+     * 用户看到"保存成功"后刷新即丢失。现委托 {@link PrivacyService} 真实 upsert。
      */
     @Transactional
     public Map<String, Object> updatePrivacySettings(String userId, Map<String, Object> settings) {
-        // TODO: Phase 21 实现 user_privacy_settings 更新
-        Map<String, Object> result = new HashMap<>();
-        result.put("updated", true);
-        return result;
+        return new HashMap<>(privacyService.updatePrivacySettings(userId, toBooleanMap(settings)));
+    }
+
+    private Map<String, Boolean> toBooleanMap(Map<String, Object> settings) {
+        Map<String, Boolean> typed = new HashMap<>();
+        if (settings == null) {
+            return typed;
+        }
+        for (Map.Entry<String, Object> e : settings.entrySet()) {
+            String key = e.getKey();
+            Object value = e.getValue();
+            if (value == null) {
+                continue;
+            }
+            if (value instanceof Boolean b) {
+                typed.put(key, b);
+            } else if (value instanceof String s
+                    && ("true".equalsIgnoreCase(s) || "false".equalsIgnoreCase(s))) {
+                // 容错：部分客户端会把 boolean 序列化成字符串
+                typed.put(key, Boolean.valueOf(s));
+            } else if (PRIVACY_KEYS.contains(key)) {
+                throw new IllegalArgumentException("隐私设置字段类型错误: " + key);
+            }
+            // 未知键：宽容忽略
+        }
+        return typed;
     }
 
     // ==================== 私有辅助方法 ====================
@@ -392,11 +432,34 @@ public class AccountLifecycleService {
     }
 
     /**
-     * 通知红娘服务已终止
+     * 注销收尾（2e 接线，原 {@code notifyMatchmaker} 为 TODO 空转）：把该用户残留的非终态
+     * 红娘服务置为 cancelled。
+     *
+     * <p>正常路径下 {@code checkCanWithdraw} 的 blocker 会要求用户先完成/取消红娘服务，
+     * 走到注销时不应再有非终态记录 —— 本方法是<b>竞态兜底</b>（blocker 检查与注销事务之间，
+     * 红娘管理员恰好受理了新服务）。
+     *
+     * <p><b>为什么不是「发通知」</b>：Phase 18 D2 的教训 —— {@code notifications.user_id → users(id)}
+     * 外键下，operator 不在 users 表，向红娘发用户通知在真实 PG 上必然使注销事务回滚。
+     * 因此以状态收尾 + 日志代替「通知」，效果更实质且不会炸注销事务。
      */
-    private void notifyMatchmaker(String userId) {
-        // TODO: 查询该用户的红娘服务，通知相关红娘
-        log.info("通知红娘服务终止: userId={}", userId);
+    private void terminateActiveMatchmakerServices(String userId) {
+        List<com.danyang.match.platform.matchmaker.entity.MatchmakerServiceRecord> active =
+                matchmakerServiceMapper.selectList(
+                        new LambdaQueryWrapper<com.danyang.match.platform.matchmaker.entity.MatchmakerServiceRecord>()
+                                .eq(com.danyang.match.platform.matchmaker.entity.MatchmakerServiceRecord::getUserId, userId)
+                                .in(com.danyang.match.platform.matchmaker.entity.MatchmakerServiceRecord::getStatus,
+                                        Constants.MATCHMAKER_STATUS_SUBMITTED,
+                                        Constants.MATCHMAKER_STATUS_ASSIGNED,
+                                        Constants.MATCHMAKER_STATUS_IN_SERVICE,
+                                        Constants.MATCHMAKER_STATUS_WAITING_USER)
+                                .isNull(com.danyang.match.platform.matchmaker.entity.MatchmakerServiceRecord::getDeletedAt));
+        for (com.danyang.match.platform.matchmaker.entity.MatchmakerServiceRecord svc : active) {
+            svc.setStatus(Constants.MATCHMAKER_STATUS_CANCELLED);
+            svc.setUpdatedAt(Instant.now());
+            matchmakerServiceMapper.updateById(svc);
+            log.info("注销收尾: 残留红娘服务已终止 userId={}, serviceId={}", userId, svc.getId());
+        }
     }
 
     /**

backend/src/main/java/com/danyang/match/platform/account/service/DataRetentionService.java

@@ -0,0 +1,181 @@
+package com.danyang.match.platform.account.service;
+
+import com.baomidou.mybatisplus.core.conditions.query.LambdaQueryWrapper;
+import com.baomidou.mybatisplus.core.conditions.update.LambdaUpdateWrapper;
+import com.danyang.match.platform.audit.entity.AuditLog;
+import com.danyang.match.platform.audit.mapper.AuditLogMapper;
+import com.danyang.match.platform.local_eligibility.entity.LocalEligibility;
+import com.danyang.match.platform.local_eligibility.entity.LocalEligibilityEvidence;
+import com.danyang.match.platform.local_eligibility.mapper.LocalEligibilityEvidenceMapper;
+import com.danyang.match.platform.local_eligibility.mapper.LocalEligibilityMapper;
+import com.danyang.match.platform.photo.entity.UserPhoto;
+import com.danyang.match.platform.photo.mapper.UserPhotoMapper;
+import com.danyang.match.platform.profile.entity.UserProfile;
+import com.danyang.match.platform.profile.mapper.UserProfileMapper;
+import com.danyang.match.platform.shared.base.BaseEntity;
+import com.danyang.match.platform.shared.config.AccountConfig;
+import com.danyang.match.platform.shared.constant.Constants;
+import com.danyang.match.platform.user.entity.User;
+import com.danyang.match.platform.user.mapper.UserMapper;
+import lombok.RequiredArgsConstructor;
+import lombok.extern.slf4j.Slf4j;
+import org.springframework.stereotype.Service;
+import org.springframework.transaction.annotation.Transactional;
+
+import java.time.Instant;
+import java.time.ZoneOffset;
+import java.util.*;
+
+/**
+ * 注销数据到期处置（批 3 收尾：数据保留流程，2026-09-19 产品决策落地）。
+ *
+ * <h3>决策与口径</h3>
+ * 产品 2026-09-19 确认：注销后用户数据保留<b>不得低于 36 个月</b>（隐私政策 §3.3 原文
+ * 「30 天内删除」与本决策冲突，已按用户最新明确指令同步修订政策文本）。
+ * 保留期经 {@link AccountConfig#getDataRetentionMonths()} 配置化（AGENTS.md #12），
+ * 到期 = {@code closed_at + retentionMonths}。
+ *
+ * <h3>「配置 + 人工审核」而非自动作业</h3>
+ * 计划 Phase 21 的既定要求是「数据保留期限未确认的敏感材料采用配置和人工审核，
+ * 不擅自永久保存或删除」。因此本服务只提供<b>人工审核的处置工具</b>：
+ * {@code listDueAccounts()} 列出保留期已满的注销账号，由持
+ * {@code account.retention.purge} 权限（V049，仅授 super_admin）的运营确认后
+ * 调用 {@code purgeExpired()} 执行 —— <b>不引入定时自动删除</b>。
+ *
+ * <h3>处置内容（断开 PII 关联，保留统计与审计所需最小信息）</h3>
+ * <ol>
+ *   <li>{@code users.wechat_openid} → {@code purged-<userId>}（不可再登录、不可回连微信身份；
+ *       phone 清空。列有 UNIQUE 约束，purged 前缀 + userId 保证唯一）；</li>
+ *   <li>{@code user_profiles}：displayName → 「已注销用户」、selfIntro 清空
+ *       （性别/年龄段等非直接标识符保留，供匿名统计）；</li>
+ *   <li>{@code user_photos} / {@code local_eligibility_evidences}：全部软删；</li>
+ *   <li>审计：{@code audit_logs} 记 {@code DATA_RETENTION_PURGE}。</li>
+ * </ol>
+ *
+ * <p><b>如实登记的边界</b>：佐证/照片的<b>对象存储文件本体</b>不在此处删除
+ * （需要对象存储客户端与逐文件凭证），由对象存储生命周期规则兜底 —— 登记于
+ * {@code docs/superpowers/plans/2026-09-18-phase23-closeout-and-uat-readiness.md} 批 3。
+ * 咨询摘要/正文已在<b>注销时</b>脱敏（{@code anonymizeServiceHistory}），无需重复处理。
+ */
+@Slf4j
+@Service
+@RequiredArgsConstructor
+public class DataRetentionService {
+
+    static final String PURGED_OPENID_PREFIX = "purged-";
+
+    private final UserMapper userMapper;
+    private final UserProfileMapper userProfileMapper;
+    private final UserPhotoMapper userPhotoMapper;
+    private final LocalEligibilityMapper localEligibilityMapper;
+    private final LocalEligibilityEvidenceMapper evidenceMapper;
+    private final AuditLogMapper auditLogMapper;
+    private final AccountConfig accountConfig;
+
+    /** 保留到期时点：closed_at + retentionMonths（按 UTC 日历月计算，非 30 天近似） */
+    public Instant retentionDueAt(Instant closedAt) {
+        return closedAt.atZone(ZoneOffset.UTC).plusMonths(accountConfig.getDataRetentionMonths())
+                .toInstant();
+    }
+
+    /** 保留期已满、待人工审核处置的注销账号清单 */
+    public List<Map<String, Object>> listDueAccounts() {
+        Instant now = Instant.now();
+        List<User> closed = userMapper.selectList(
+                new LambdaQueryWrapper<User>()
+                        .eq(User::getAccountStatus, Constants.ACCOUNT_STATUS_CLOSED)
+                        .isNotNull(User::getClosedAt)
+                        .isNull(BaseEntity::getDeletedAt));
+        List<Map<String, Object>> due = new ArrayList<>();
+        for (User user : closed) {
+            Instant dueAt = retentionDueAt(user.getClosedAt());
+            if (dueAt.isAfter(now)) {
+                continue; // 仍在保留期内 —— 产品确认的下限，不得提前处置
+            }
+            boolean alreadyPurged = user.getWechatOpenid() != null
+                    && user.getWechatOpenid().startsWith(PURGED_OPENID_PREFIX);
+            Map<String, Object> row = new HashMap<>();
+            row.put("userId", user.getId());
+            row.put("closedAt", user.getClosedAt());
+            row.put("retentionMonths", accountConfig.getDataRetentionMonths());
+            row.put("retentionDueAt", dueAt);
+            row.put("purged", alreadyPurged);
+            due.add(row);
+        }
+        return due;
+    }
+
+    /**
+     * 执行到期匿名化清除（人工审核后调用）。
+     *
+     * @return 处置结果；{@code purged=true} 表示此前已处置过（幂等重放）
+     */
+    @Transactional
+    public Map<String, Object> purgeExpired(String userId, String operatorId) {
+        User user = userMapper.selectById(userId);
+        if (user == null) {
+            throw new IllegalArgumentException("用户不存在");
+        }
+        if (!Constants.ACCOUNT_STATUS_CLOSED.equals(user.getAccountStatus())) {
+            throw new IllegalArgumentException("仅限已注销账号执行到期处置");
+        }
+        if (user.getClosedAt() == null || retentionDueAt(user.getClosedAt()).isAfter(Instant.now())) {
+            throw new IllegalArgumentException("该账号仍在保留期内（下限 "
+                    + accountConfig.getDataRetentionMonths() + " 个月），不得提前处置");
+        }
+
+        Map<String, Object> result = new HashMap<>();
+        if (user.getWechatOpenid() != null
+                && user.getWechatOpenid().startsWith(PURGED_OPENID_PREFIX)) {
+            result.put("purged", true);
+            result.put("alreadyPurged", true);
+            return result; // 幂等：重复调用不产生第二次审计与写入
+        }
+
+        // 1. 断开账号级直接标识符。
+        //    ⚠️ 必须用 LambdaUpdateWrapper.set(..., null)：MyBatis-Plus 默认 FieldStrategy=NOT_NULL，
+        //    updateById 时 phone=null 不会进 SQL（守卫实测：清 phone 断言失败，旧值仍在库）。
+        userMapper.update(null, new LambdaUpdateWrapper<User>()
+                .eq(User::getId, userId)
+                .set(User::getWechatOpenid, PURGED_OPENID_PREFIX + userId)
+                .set(User::getPhone, null));
+
+        // 2. 资料直接标识字段匿名化（selfIntro 置 null 同理须显式 set）
+        userProfileMapper.findByUserId(userId).ifPresent(profile ->
+                userProfileMapper.update(null, new LambdaUpdateWrapper<UserProfile>()
+                        .eq(UserProfile::getUserId, userId)
+                        .set(UserProfile::getDisplayName, "已注销用户")
+                        .set(UserProfile::getSelfIntro, null)));
+
+        // 3. 照片与本地资格佐证软删（文件本体由对象存储生命周期规则兜底，见类注释边界）。
+        //    佐证表无 user_id 直连列，须经 user_local_eligibilities 关联。
+        Instant now = Instant.now();
+        for (UserPhoto photo : userPhotoMapper.selectList(
+                new LambdaQueryWrapper<UserPhoto>().eq(UserPhoto::getUserId, userId))) {
+            photo.setDeletedAt(now);
+            userPhotoMapper.updateById(photo);
+        }
+        localEligibilityMapper.findByUserId(userId).ifPresent(el -> {
+            for (LocalEligibilityEvidence evidence : evidenceMapper.selectList(
+                    new LambdaQueryWrapper<LocalEligibilityEvidence>()
+                            .eq(LocalEligibilityEvidence::getLocalEligibilityId, el.getId()))) {
+                evidence.setDeletedAt(now);
+                evidenceMapper.updateById(evidence);
+            }
+        });
+
+        // 4. 审计（不可逆操作必须留痕）
+        AuditLog auditLog = new AuditLog();
+        auditLog.setOperatorId(operatorId);
+        auditLog.setAction("DATA_RETENTION_PURGE");
+        auditLog.setResourceType("user");
+        auditLog.setResourceId(userId);
+        auditLogMapper.insert(auditLog);
+
+        log.info("注销数据到期处置完成: userId={}, operatorId={}, retentionMonths={}",
+                userId, operatorId, accountConfig.getDataRetentionMonths());
+        result.put("purged", true);
+        result.put("alreadyPurged", false);
+        return result;
+    }
+}

backend/src/main/java/com/danyang/match/platform/activity/controller/ActivityInterestController.java

@@ -9,7 +9,7 @@ import com.danyang.match.platform.activity.entity.ActivityInterest;
 import com.baomidou.mybatisplus.core.conditions.query.LambdaQueryWrapper;
 import com.danyang.match.platform.shared.idempotency.Idempotent;
 import com.danyang.match.platform.shared.security.principal.UserPrincipal;
-import com.danyang.match.platform.relationship.service.RelationshipService;
+import com.danyang.match.platform.activity_mutual.service.ActivityMutualConsentService;
 import com.danyang.match.platform.shared.dto.ApiResponse;
 import com.danyang.match.platform.shared.security.principal.OperatorPrincipal;
 import lombok.RequiredArgsConstructor;
@@ -30,7 +30,8 @@ import java.util.Map;
 public class ActivityInterestController {
 
     private final ActivityInterestService interestService;
-    private final RelationshipService relationshipService;
+    /** 二阶段同意（INV-014/015）：`interests/confirm` 与 `/mutual/*` 共用同一实现，避免越权旁路。 */
+    private final ActivityMutualConsentService consentService;
     private final ActivityMapper activityMapper;
 
     @GetMapping("/operator/activity-interest-summary")
@@ -105,7 +106,12 @@ public class ActivityInterestController {
     /**
      * 确认开启线上沟通（V1.1 Phase 08）
      * POST /api/v1/activities/{id}/interests/confirm
-     * 双方确认后创建 Match Episode，不自动创建 Conversation
+     *
+     * <p><b>2026-09-23 UAT 走查修复（INV-014/015）</b>：此前本端点仅校验「双向互选」便直调
+     * {@code RelationshipService.confirmActivityInterest} —— 那是「建 Match」的底层原语
+     * （不做任何同意校验），于是**单方调用即可建 Match/会话**，绕过「双方各自显式确认」
+     * 的二阶段同意。现改为与 {@code /activities/{id}/mutual/*} 走**同一条**二阶段链路：
+     * 本端点只登记「我方确认」，只有双方都 accepted 时才建 Match/会话。
      */
     @Idempotent
     @PostMapping("/{id}/interests/confirm")
@@ -120,13 +126,16 @@ public class ActivityInterestController {
                     com.danyang.match.platform.shared.enums.ApiResponseCode.BAD_REQUEST,
                     "partnerId不能为空");
         }
-        // 验证互选状态
+        // 验证互选状态（保留原前置条件：无双向互选不进入确认环节）
         if (!interestService.hasMutualInterest(userId, partnerId, id)) {
             return ApiResponse.error(
                     com.danyang.match.platform.shared.enums.ApiResponseCode.CONFLICT,
                     "您与该用户未形成活动双向互选");
         }
-        return ApiResponse.ok(relationshipService.confirmActivityInterest(userId, partnerId));
+        // 二阶段同意：先幂等确保同意记录存在，再仅提交「我方确认」。
+        // 单方调用不再可能创建 Match（INV-014/015）。
+        consentService.createMutualConsent(id, userId, partnerId);
+        return ApiResponse.ok(consentService.confirmConnection(userId, id, partnerId));
     }
 
     /**

backend/src/main/java/com/danyang/match/platform/activity/service/ActivityInterestService.java

@@ -24,6 +24,9 @@ import org.springframework.transaction.annotation.Transactional;
 import java.time.Instant;
 import java.util.*;
 import java.util.stream.Collectors;
+import com.danyang.match.platform.shared.enums.ApiResponseCode;
+import com.danyang.match.platform.shared.exception.GlobalExceptionHandler.BusinessException;
+import com.danyang.match.platform.shared.exception.GlobalExceptionHandler;
 
 /**
  * 活动互选服务
@@ -59,17 +62,17 @@ public class ActivityInterestService {
         // 1. 验证活动已结束
         Activity activity = activityMapper.selectById(activityId);
         if (activity == null) {
-            throw new RuntimeException("活动不存在");
+            throw new BusinessException(ApiResponseCode.NOT_FOUND, "活动不存在");
         }
         if (!Constants.ACTIVITY_STATUS_ENDED.equals(activity.getStatus())) {
-            throw new RuntimeException("活动尚未结束，暂不支持反馈");
+            throw new BusinessException(ApiResponseCode.CONFLICT, "活动尚未结束，暂不支持反馈");
         }
 
         // 2. 验证用户已报名且通过审核
         ActivityRegistration registration = registrationMapper.findByActivityAndUser(activityId, userId)
-                .orElseThrow(() -> new RuntimeException("您未报名该活动"));
+                .orElseThrow(() -> new GlobalExceptionHandler.BusinessException(ApiResponseCode.FORBIDDEN, "您未报名该活动"));
         if (!Constants.REGISTRATION_STATUS_APPROVED.equals(registration.getStatus())) {
-            throw new RuntimeException("报名未通过审核，无法提交反馈");
+            throw new BusinessException(ApiResponseCode.FORBIDDEN, "报名未通过审核，无法提交反馈");
         }
 
         // 3. 过滤有效的目标用户（必须是同活动的approved用户，排除自己）

backend/src/main/java/com/danyang/match/platform/activity/service/ActivityService.java

@@ -30,6 +30,9 @@ import org.springframework.transaction.annotation.Transactional;
 import java.time.Instant;
 import java.util.*;
 import java.util.stream.Collectors;
+import com.danyang.match.platform.shared.enums.ApiResponseCode;
+import com.danyang.match.platform.shared.exception.GlobalExceptionHandler.BusinessException;
+import com.danyang.match.platform.shared.exception.GlobalExceptionHandler;
 
 @Service
 @RequiredArgsConstructor
@@ -110,9 +113,9 @@ public class ActivityService {
     @Transactional
     public Activity publishActivity(String activityId, String operatorId) {
         Activity activity = activityMapper.selectById(activityId);
-        if (activity == null) throw new RuntimeException("活动不存在");
+        if (activity == null) throw new BusinessException(ApiResponseCode.NOT_FOUND, "活动不存在");
         if (!Constants.ACTIVITY_STATUS_DRAFT.equals(activity.getStatus())) {
-            throw new RuntimeException("当前状态不允许发布");
+            throw new BusinessException(ApiResponseCode.CONFLICT, "当前状态不允许发布");
         }
         activity.setStatus(Constants.ACTIVITY_STATUS_REGISTRATION_OPEN);
         if (activity.getRegistrationStartAt() == null) {
@@ -129,10 +132,10 @@ public class ActivityService {
     @Transactional
     public Activity cancelActivity(String activityId, String operatorId) {
         Activity activity = activityMapper.selectById(activityId);
-        if (activity == null) throw new RuntimeException("活动不存在");
+        if (activity == null) throw new BusinessException(ApiResponseCode.NOT_FOUND, "活动不存在");
         if (!Constants.ACTIVITY_STATUS_DRAFT.equals(activity.getStatus()) &&
                 !Constants.ACTIVITY_STATUS_REGISTRATION_OPEN.equals(activity.getStatus())) {
-            throw new RuntimeException("当前状态不允许取消");
+            throw new BusinessException(ApiResponseCode.CONFLICT, "当前状态不允许取消");
         }
         activity.setStatus(Constants.ACTIVITY_STATUS_CANCELLED);
         activityMapper.updateById(activity);
@@ -220,9 +223,9 @@ public class ActivityService {
                                                  String emergencyContactName,
                                                  String emergencyContactPhoneEnc) {
         Activity activity = activityMapper.selectById(activityId);
-        if (activity == null) throw new RuntimeException("活动不存在");
+        if (activity == null) throw new BusinessException(ApiResponseCode.NOT_FOUND, "活动不存在");
         if (!Constants.ACTIVITY_STATUS_REGISTRATION_OPEN.equals(activity.getStatus())) {
-            throw new RuntimeException("活动未开放报名或已结束");
+            throw new BusinessException(ApiResponseCode.CONFLICT, "活动未开放报名或已结束");
         }
         // Phase 15 修复：报名窗口此前完全不校验 —— registration_start_at / registration_end_at
         // 形同虚设，活动一旦发布就永远可报名（运营设的截止时间无效）。
@@ -237,7 +240,7 @@ public class ActivityService {
         if (existing.isPresent()
                 && !Constants.REGISTRATION_STATUS_REJECTED.equals(existing.get().getStatus())
                 && !Constants.REGISTRATION_STATUS_CANCELLED.equals(existing.get().getStatus())) {
-            throw new RuntimeException("已经报名过该活动");
+            throw new BusinessException(ApiResponseCode.ACTIVITY_ALREADY_REGISTERED, "已经报名过该活动");
         }
 
         // V1.1 Phase 14: 按活动类型执行差异化资格策略（Gate 要求 matchmaking 与课堂/反诈类不同）
@@ -265,7 +268,7 @@ public class ActivityService {
                     if (registrationMapper.reuseIfCapacityAvailable(
                             old.getId(), activityId, status,
                             emergencyContactName, emergencyContactPhoneEnc, gender) == 0) {
-                        throw new RuntimeException("活动名额已满");
+                        throw new BusinessException(ApiResponseCode.ACTIVITY_FULL, "活动名额已满");
                     }
                 } catch (RuntimeException e) {
                     if (groupCode != null) capacityGroupMapper.decrementIfPositive(activityId, groupCode);
@@ -294,7 +297,7 @@ public class ActivityService {
                     if (registrationMapper.insertIfCapacityAvailable(
                             newId, activityId, userId, status,
                             emergencyContactName, emergencyContactPhoneEnc, gender) == 0) {
-                        throw new RuntimeException("活动名额已满");
+                        throw new BusinessException(ApiResponseCode.ACTIVITY_FULL, "活动名额已满");
                     }
                 } catch (RuntimeException e) {
                     if (groupCode != null) capacityGroupMapper.decrementIfPositive(activityId, groupCode);
@@ -334,9 +337,9 @@ public class ActivityService {
     @Transactional
     public ActivityRegistration approveRegistration(String registrationId, String operatorId) {
         ActivityRegistration registration = registrationMapper.selectById(registrationId);
-        if (registration == null) throw new RuntimeException("报名记录不存在");
+        if (registration == null) throw new BusinessException(ApiResponseCode.NOT_FOUND, "报名记录不存在");
         if (!Constants.REGISTRATION_STATUS_PENDING.equals(registration.getStatus())) {
-            throw new RuntimeException("当前状态不允许审核通过");
+            throw new BusinessException(ApiResponseCode.CONFLICT, "当前状态不允许审核通过");
         }
 
         // Phase 15（计划项③）：服务站操作员只能审核被指派给自己的活动
@@ -355,7 +358,7 @@ public class ActivityService {
         }
         if (affected == 0) {
             if (groupCode != null) capacityGroupMapper.decrementIfPositive(registration.getActivityId(), groupCode);
-            throw new RuntimeException("活动名额已满或状态已变更，无法通过审核");
+            throw new BusinessException(ApiResponseCode.ACTIVITY_FULL, "活动名额已满或状态已变更，无法通过审核");
         }
         // 回读事务内最新状态（条件更新不回填实体）
         registration = registrationMapper.selectById(registrationId);
@@ -376,16 +379,16 @@ public class ActivityService {
     @Transactional
     public ActivityRegistration rejectRegistration(String registrationId, String operatorId, String reason) {
         ActivityRegistration registration = registrationMapper.selectById(registrationId);
-        if (registration == null) throw new RuntimeException("报名记录不存在");
+        if (registration == null) throw new BusinessException(ApiResponseCode.NOT_FOUND, "报名记录不存在");
         if (!Constants.REGISTRATION_STATUS_PENDING.equals(registration.getStatus())) {
-            throw new RuntimeException("当前状态不允许审核");
+            throw new BusinessException(ApiResponseCode.CONFLICT, "当前状态不允许审核");
         }
         assertActivityScope(registration.getActivityId(), operatorId, "只能审核被指派给自己的活动");
 
         // Phase 15 修复：原实现为「读 pending → 全量 updateById」，两人同时审核时
         // 一个通过、一个拒绝会互相覆盖。改为条件更新，后到者 affectedRows=0。
         if (registrationMapper.rejectIfPending(registrationId, operatorId, reason) == 0) {
-            throw new RuntimeException("该报名状态已被他人变更，无法拒绝");
+            throw new BusinessException(ApiResponseCode.CONFLICT, "该报名状态已被他人变更，无法拒绝");
         }
         registration = registrationMapper.selectById(registrationId);
 
@@ -405,14 +408,14 @@ public class ActivityService {
     @Transactional
     public ActivityRegistration cancelRegistration(String userId, String activityId) {
         ActivityRegistration registration = registrationMapper.findByActivityAndUser(activityId, userId)
-                .orElseThrow(() -> new RuntimeException("没有找到报名记录"));
+                .orElseThrow(() -> new GlobalExceptionHandler.BusinessException(ApiResponseCode.NOT_FOUND, "没有找到报名记录"));
         if (!Constants.REGISTRATION_STATUS_PENDING.equals(registration.getStatus()) &&
                 !Constants.REGISTRATION_STATUS_APPROVED.equals(registration.getStatus())) {
-            throw new RuntimeException("当前状态不能取消");
+            throw new BusinessException(ApiResponseCode.CONFLICT, "当前状态不能取消");
         }
         // 原子取消：状态已被他人变更（如已被拒绝）时 affectedRows=0，不得重复回补名额
         if (registrationMapper.cancelIfActive(registration.getId()) == 0) {
-            throw new RuntimeException("该报名状态已被他人变更，无法取消");
+            throw new BusinessException(ApiResponseCode.CONFLICT, "该报名状态已被他人变更，无法取消");
         }
         // 已通过的名额释放（总名额/性别名额由 SQL 实时统计自动释放；分组计数需显式回退）
         if (Constants.REGISTRATION_STATUS_APPROVED.equals(registration.getStatus())) {
@@ -721,7 +724,7 @@ public class ActivityService {
                 log.warn("实名状态查询失败，按未实名处理: userId={}, err={}", userId, e.getMessage());
             }
             if (!verified) {
-                throw new RuntimeException("该活动需完成实名认证后方可报名");
+                throw new BusinessException(ApiResponseCode.FORBIDDEN, "该活动需完成实名认证后方可报名");
             }
         }
 
@@ -733,7 +736,7 @@ public class ActivityService {
                 log.warn("本地资格状态查询失败，按未核验处理: userId={}, err={}", userId, e.getMessage());
             }
             if (!Constants.VERIFICATION_STATUS_VERIFIED.equals(st)) {
-                throw new RuntimeException("该活动需通过本地资格核验后方可报名");
+                throw new BusinessException(ApiResponseCode.FORBIDDEN, "该活动需通过本地资格核验后方可报名");
             }
         }
     }
@@ -746,10 +749,10 @@ public class ActivityService {
         if (birth == null) return; // 资料不全时不阻断报名
         int age = java.time.Period.between(birth, java.time.LocalDate.now()).getYears();
         if (activity.getMinAge() != null && age < activity.getMinAge()) {
-            throw new RuntimeException("报名年龄未满 " + activity.getMinAge() + " 周岁");
+            throw new BusinessException(ApiResponseCode.FORBIDDEN, "报名年龄未满 " + activity.getMinAge() + " 周岁");
         }
         if (activity.getMaxAge() != null && age > activity.getMaxAge()) {
-            throw new RuntimeException("报名年龄超出 " + activity.getMaxAge() + " 周岁上限");
+            throw new BusinessException(ApiResponseCode.FORBIDDEN, "报名年龄超出 " + activity.getMaxAge() + " 周岁上限");
         }
     }
 
@@ -782,10 +785,10 @@ public class ActivityService {
     private void assertWithinRegistrationWindow(Activity activity) {
         Instant now = Instant.now();
         if (activity.getRegistrationStartAt() != null && now.isBefore(activity.getRegistrationStartAt())) {
-            throw new RuntimeException("活动报名尚未开始");
+            throw new BusinessException(ApiResponseCode.CONFLICT, "活动报名尚未开始");
         }
         if (activity.getRegistrationEndAt() != null && now.isAfter(activity.getRegistrationEndAt())) {
-            throw new RuntimeException("活动报名已截止");
+            throw new BusinessException(ApiResponseCode.CONFLICT, "活动报名已截止");
         }
     }
 
@@ -835,7 +838,7 @@ public class ActivityService {
         String groupCode = resolveCapacityGroupCode(activityId, gender);
         if (groupCode == null) return null;
         if (capacityGroupMapper.incrementIfAvailable(activityId, groupCode) == 0) {
-            throw new RuntimeException("该分组名额已满");
+            throw new BusinessException(ApiResponseCode.ACTIVITY_FULL, "该分组名额已满");
         }
         return groupCode;
     }

backend/src/main/java/com/danyang/match/platform/activity/service/CheckinService.java

@@ -26,6 +26,10 @@ import java.util.Base64;
 import java.util.HashMap;
 import java.util.Map;
 import java.util.concurrent.TimeUnit;
+import com.danyang.match.platform.shared.enums.ApiResponseCode;
+import com.danyang.match.platform.shared.exception.GlobalExceptionHandler.BusinessException;
+import com.danyang.match.platform.shared.exception.ServerErrorException;
+import com.danyang.match.platform.shared.exception.GlobalExceptionHandler;
 
 /**
  * 签到服务
@@ -61,21 +65,21 @@ public class CheckinService {
      */
     public Map<String, Object> generateCheckinToken(String userId, String activityId) {
         ActivityRegistration registration = registrationMapper.findByActivityAndUser(activityId, userId)
-                .orElseThrow(() -> new RuntimeException("您没有报名该活动"));
+                .orElseThrow(() -> new GlobalExceptionHandler.BusinessException(ApiResponseCode.FORBIDDEN, "您没有报名该活动"));
 
         if (!Constants.REGISTRATION_STATUS_APPROVED.equals(registration.getStatus())) {
-            throw new RuntimeException("报名尚未审核通过，无法签到");
+            throw new BusinessException(ApiResponseCode.FORBIDDEN, "报名尚未审核通过，无法签到");
         }
 
         if (Constants.CHECKIN_STATUS_CHECKED_IN.equals(registration.getCheckinStatus())) {
-            throw new RuntimeException("您已经签到过了");
+            throw new BusinessException(ApiResponseCode.ALREADY_CHECKED_IN, "您已经签到过了");
         }
 
         Activity activity = requireCheckableActivity(activityId);
 
         Instant now = Instant.now();
         if (now.isBefore(activity.getStartAt()) || now.isAfter(activity.getEndAt())) {
-            throw new RuntimeException("活动未开始或已结束，无法签到");
+            throw new BusinessException(ApiResponseCode.CONFLICT, "活动未开始或已结束，无法签到");
         }
 
         String payload = userId + ":" + activityId + ":" + now.toEpochMilli();
@@ -290,7 +294,7 @@ public class CheckinService {
             byte[] hash = hmac.doFinal(payload.getBytes(StandardCharsets.UTF_8));
             return Base64.getEncoder().encodeToString(hash);
         } catch (Exception e) {
-            throw new RuntimeException("签名生成失败", e);
+            throw new ServerErrorException("签名生成失败", e);
         }
     }
 

backend/src/main/java/com/danyang/match/platform/activity_mutual/service/ActivityMutualConsentService.java

@@ -1,17 +1,23 @@
 package com.danyang.match.platform.activity_mutual.service;
 
+import com.danyang.match.platform.activity.entity.Activity;
+import com.danyang.match.platform.activity.mapper.ActivityMapper;
 import com.danyang.match.platform.activity_mutual.dto.MutualInterestResultDTO;
 import com.danyang.match.platform.activity_mutual.entity.ActivityMutualConsent;
 import com.danyang.match.platform.activity_mutual.mapper.ActivityMutualConsentMapper;
 import com.danyang.match.platform.relationship.service.RelationshipService;
+import com.danyang.match.platform.shared.config.ActivityConfig;
 import com.danyang.match.platform.shared.constant.Constants;
 import lombok.RequiredArgsConstructor;
 import lombok.extern.slf4j.Slf4j;
 import org.springframework.stereotype.Service;
 import org.springframework.transaction.annotation.Transactional;
 
+import java.time.Duration;
 import java.time.Instant;
 import java.util.*;
+import com.danyang.match.platform.shared.exception.GlobalExceptionHandler;
+import com.danyang.match.platform.shared.enums.ApiResponseCode;
 
 @Slf4j
 @Service
@@ -20,6 +26,8 @@ public class ActivityMutualConsentService {
 
     private final ActivityMutualConsentMapper consentMapper;
     private final RelationshipService relationshipService;
+    private final ActivityMapper activityMapper;
+    private final ActivityConfig activityConfig;
 
     public List<MutualInterestResultDTO> detectMutualResults(String activityId) {
         List<ActivityMutualConsent> bothConfirmed = consentMapper.findBothConfirmedByActivity(activityId);
@@ -44,6 +52,15 @@ public class ActivityMutualConsentService {
             }
             consent.setUserAStatus(Constants.MUTUAL_CONSENT_STATUS_PENDING);
             consent.setUserBStatus(Constants.MUTUAL_CONSENT_STATUS_PENDING);
+            // P16-T13 接线：写入 expires_at，否则 confirmSideIfPending 的
+            // `(expires_at IS NULL OR expires_at > NOW())` 过滤因恒 NULL 而永不生效，
+            // 「截止后 48 小时」窗口（PENDING_DECISIONS 已确认口径）形同虚设。
+            // 基准点 = 活动结束时间（ActivityConfig.mutualDeadlineHours 注释的既定语义），
+            // 活动不存在或无结束时间时回退为创建时刻。
+            Instant deadlineBase = Optional.ofNullable(activityMapper.selectById(activityId))
+                    .map(Activity::getEndAt)
+                    .orElseGet(Instant::now);
+            consent.setExpiresAt(deadlineBase.plus(Duration.ofHours(activityConfig.getMutualDeadlineHours())));
             consentMapper.insert(consent);
         }
         return consent;
@@ -52,7 +69,7 @@ public class ActivityMutualConsentService {
     @Transactional
     public Map<String, Object> confirmConnection(String userId, String activityId, String partnerId) {
         ActivityMutualConsent consent = consentMapper.findByActivityPair(activityId, userId, partnerId)
-                .orElseThrow(() -> new RuntimeException("没有找到该活动的互选记录"));
+                .orElseThrow(() -> new GlobalExceptionHandler.BusinessException(ApiResponseCode.NOT_FOUND, "没有找到该活动的互选记录"));
 
         // 原子确认本方（Phase 16 核心）：仅当本方 pending、未过期、未软删时写入 accepted，
         // 并借助 both_confirmed_at 从 NULL→非NULL 的原子 UPDATE 实现 exactly-once。
@@ -61,7 +78,7 @@ public class ActivityMutualConsentService {
 
         // 回读权威状态（可能受并发另一方提交影响）
         consent = consentMapper.findByActivityPair(activityId, userId, partnerId)
-                .orElseThrow(() -> new RuntimeException("互选记录已不存在"));
+                .orElseThrow(() -> new GlobalExceptionHandler.BusinessException(ApiResponseCode.NOT_FOUND, "互选记录已不存在"));
 
         boolean aAccepted = Constants.MUTUAL_CONSENT_STATUS_ACCEPTED.equals(consent.getUserAStatus());
         boolean bAccepted = Constants.MUTUAL_CONSENT_STATUS_ACCEPTED.equals(consent.getUserBStatus());
@@ -105,7 +122,7 @@ public class ActivityMutualConsentService {
 
     public Map<String, Object> declineConnection(String userId, String activityId, String partnerId) {
         ActivityMutualConsent consent = consentMapper.findByActivityPair(activityId, userId, partnerId)
-                .orElseThrow(() -> new RuntimeException("没有找到该活动的互选记录"));
+                .orElseThrow(() -> new GlobalExceptionHandler.BusinessException(ApiResponseCode.NOT_FOUND, "没有找到该活动的互选记录"));
         if (userId.equals(consent.getUserAId())) {
             consent.setUserAStatus(Constants.MUTUAL_CONSENT_STATUS_DECLINED);
         } else {

backend/src/main/java/com/danyang/match/platform/analytics/AnalyticsService.java

@@ -21,7 +21,9 @@ import com.danyang.match.platform.service_appointment.entity.ServiceAppointment;
 import com.danyang.match.platform.service_appointment.mapper.ServiceAppointmentMapper;
 import com.danyang.match.platform.service_program.entity.ServiceProgramMember;
 import com.danyang.match.platform.service_program.mapper.ServiceProgramMemberMapper;
-import com.danyang.match.platform.shared.exception.BusinessException;
+// 必须是 GlobalExceptionHandler.BusinessException —— shared.exception.BusinessException
+// 此前是另一个未映射的类，抛出来直落 500（days 越界本该 400）。见该类 javadoc 的修复记录。
+import com.danyang.match.platform.shared.exception.GlobalExceptionHandler.BusinessException;
 import com.danyang.match.platform.shared.enums.ApiResponseCode;
 import com.danyang.match.platform.user.entity.User;
 import com.danyang.match.platform.user.mapper.UserMapper;
@@ -252,7 +254,7 @@ public class AnalyticsService {
 
     public List<Map<String, Object>> getDailySummary(int days) {
         if (days < 1 || days > 365) {
-            throw new BusinessException(ApiResponseCode.VALIDATION_ERROR.getCode(), "days 必须在 1~365 之间");
+            throw new BusinessException(ApiResponseCode.VALIDATION_ERROR, "days 必须在 1~365 之间");
         }
         List<Map<String, Object>> summary = new ArrayList<>();
         LocalDate today = LocalDate.now();

backend/src/main/java/com/danyang/match/platform/appeal/service/AppealService.java

@@ -24,6 +24,8 @@ import org.springframework.transaction.annotation.Transactional;
 import java.time.Instant;
 import java.util.*;
 import java.util.stream.Collectors;
+import com.danyang.match.platform.shared.enums.ApiResponseCode;
+import com.danyang.match.platform.shared.exception.GlobalExceptionHandler.BusinessException;
 
 /**
  * 申诉服务
@@ -97,29 +99,29 @@ public class AppealService {
     public Map<String, Object> submitAppeal(String userId, AppealSubmitDTO dto) {
         // FeatureFlag 检查
         if (!featureFlagConfig.isAppealEnabled()) {
-            throw new RuntimeException("申诉功能暂未开放");
+            throw new BusinessException(ApiResponseCode.OPERATION_NOT_ALLOWED, "申诉功能暂未开放");
         }
 
         if (dto == null || dto.getRelatedActionId() == null || dto.getRelatedActionId().isBlank()) {
-            throw new RuntimeException("缺少关联的处置记录");
+            throw new BusinessException(ApiResponseCode.BAD_REQUEST, "缺少关联的处置记录");
         }
 
         // 验证关联的 risk_action 存在且仍有效
         RiskAction targetAction = riskActionMapper.selectById(dto.getRelatedActionId());
         if (targetAction == null) {
-            throw new RuntimeException("关联的处置记录不存在");
+            throw new BusinessException(ApiResponseCode.NOT_FOUND, "关联的处置记录不存在");
         }
         if (!Constants.RISK_ACTION_STATUS_ACTIVE.equals(targetAction.getStatus())) {
-            throw new RuntimeException("该处置已失效，无法申诉");
+            throw new BusinessException(ApiResponseCode.CONFLICT, "该处置已失效，无法申诉");
         }
         if (!userId.equals(targetAction.getUserId())) {
-            throw new RuntimeException("无权对此处置提交申诉");
+            throw new BusinessException(ApiResponseCode.FORBIDDEN, "无权对此处置提交申诉");
         }
 
         // 必须是 ban 或 suspend 类型
         if (!Constants.RISK_ACTION_BAN.equals(targetAction.getActionType()) &&
             !Constants.RISK_ACTION_TEMPORARY_SUSPEND.equals(targetAction.getActionType())) {
-            throw new RuntimeException("当前处置类型不支持申诉");
+            throw new BusinessException(ApiResponseCode.BAD_REQUEST, "当前处置类型不支持申诉");
         }
 
         // Phase 18：校验 appealType 白名单（生产 chk_appeal_type），并必须与处置类型一致。
@@ -132,16 +134,16 @@ public class AppealService {
         }
         if (!Constants.APPEAL_TYPE_BAN.equals(appealType) &&
             !Constants.APPEAL_TYPE_SUSPEND.equals(appealType)) {
-            throw new RuntimeException("无效的申诉类型");
+            throw new BusinessException(ApiResponseCode.BAD_REQUEST, "无效的申诉类型");
         }
         if (!expectedType.equals(appealType)) {
-            throw new RuntimeException("申诉类型与处置类型不匹配");
+            throw new BusinessException(ApiResponseCode.BAD_REQUEST, "申诉类型与处置类型不匹配");
         }
 
         // 防重：同一用户对同一 action 只能有一个 pending/reviewing 申诉
         Optional<Appeal> existing = appealMapper.findActiveByUserAndAction(userId, dto.getRelatedActionId());
         if (existing.isPresent()) {
-            throw new RuntimeException("您已就此处置提交过申诉，请等待处理结果");
+            throw new BusinessException(ApiResponseCode.CONFLICT, "您已就此处置提交过申诉，请等待处理结果");
         }
 
         Appeal appeal = new Appeal();
@@ -190,7 +192,7 @@ public class AppealService {
     public AppealItemDTO getAppealDetail(String appealId) {
         Appeal appeal = appealMapper.selectById(appealId);
         if (appeal == null || appeal.getDeletedAt() != null) {
-            throw new RuntimeException("申诉不存在");
+            throw new BusinessException(ApiResponseCode.NOT_FOUND, "申诉不存在");
         }
         return toDTO(appeal);
     }
@@ -202,10 +204,10 @@ public class AppealService {
     public Map<String, Object> processAppeal(String appealId, AppealProcessDTO dto, String operatorId) {
         Appeal appeal = appealMapper.selectById(appealId);
         if (appeal == null || appeal.getDeletedAt() != null) {
-            throw new RuntimeException("申诉不存在");
+            throw new BusinessException(ApiResponseCode.NOT_FOUND, "申诉不存在");
         }
         if (dto == null || dto.getDecision() == null) {
-            throw new RuntimeException("无效的申诉决策");
+            throw new BusinessException(ApiResponseCode.BAD_REQUEST, "无效的申诉决策");
         }
 
         // Phase 18：原子「认领」——只有把申诉从可处理态（pending/reviewing/escalated）
@@ -213,7 +215,7 @@ public class AppealService {
         // 同一申诉时，只有一个赢家能继续，另一个直接失败，避免 approve/reject 相互覆盖。
         int claimed = appealMapper.markReviewingIfProcessable(appealId);
         if (claimed != 1) {
-            throw new RuntimeException("该申诉已处理完毕");
+            throw new BusinessException(ApiResponseCode.CONFLICT, "该申诉已处理完毕");
         }
 
         // 回读最新状态（status 已为 reviewing）
@@ -224,7 +226,7 @@ public class AppealService {
             case "approve" -> approveAppeal(fresh, dto.getDecisionNote(), operatorId);
             case "reject" -> rejectAppeal(fresh, dto.getDecisionNote(), operatorId);
             case "escalate" -> escalateAppeal(fresh, dto.getDecisionNote(), operatorId);
-            default -> throw new RuntimeException("无效的申诉决策");
+            default -> throw new BusinessException(ApiResponseCode.BAD_REQUEST, "无效的申诉决策");
         }
 
         saveAuditLog(operatorId, "PROCESS_APPEAL", "appeal", appealId, null, null);

backend/src/main/java/com/danyang/match/platform/auth/controller/AuthController.java

@@ -1,6 +1,8 @@
 package com.danyang.match.platform.auth.controller;
 
 import com.danyang.match.platform.auth.service.AuthService;
+import com.danyang.match.platform.shared.enums.ApiResponseCode;
+import com.danyang.match.platform.shared.exception.GlobalExceptionHandler.BusinessException;
 import com.danyang.match.platform.shared.security.principal.UserPrincipal;
 import org.springframework.security.access.prepost.PreAuthorize;
 import org.springframework.security.core.annotation.AuthenticationPrincipal;
@@ -26,8 +28,7 @@ public class AuthController {
     public ApiResponse<Map<String, Object>> wechatLogin(@RequestBody Map<String, String> body) {
         String code = body.get("code");
         if (code == null || code.isBlank()) {
-            throw new com.danyang.match.platform.shared.exception.GlobalExceptionHandler.BusinessException(
-                    com.danyang.match.platform.shared.enums.ApiResponseCode.BAD_REQUEST, "code 不能为空");
+            throw new BusinessException(ApiResponseCode.BAD_REQUEST, "code 不能为空");
         }
         return ApiResponse.ok(authService.wechatLogin(code));
     }
@@ -44,8 +45,7 @@ public class AuthController {
                                        @RequestBody Map<String, String> body) {
         String phone = body.get("phone");
         if (phone == null || phone.isBlank()) {
-            throw new com.danyang.match.platform.shared.exception.GlobalExceptionHandler.BusinessException(
-                    com.danyang.match.platform.shared.enums.ApiResponseCode.BAD_REQUEST, "手机号不能为空");
+            throw new BusinessException(ApiResponseCode.BAD_REQUEST, "手机号不能为空");
         }
         authService.bindPhone(principal.id(), phone);
         return ApiResponse.ok();
@@ -54,17 +54,19 @@ public class AuthController {
     /**
      * 刷新 Token
      * POST /api/v1/auth/refresh
-     * Body: { "userId": "...", "refreshToken": "..." }
+     * Body: { "refreshToken": "..." }，userId 可选
+     *
+     * <p>userId 不再是必填：refresh token 的 subject 就是 userId，令牌本身自证身份。
+     * 此前强制要求客户端重复传 userId，漏传即 400 —— 小程序 2026-09-22 的
+     * 首页 401 事故正是被这个 400 放大的。显式传入时仍会被校验与令牌主体一致。
      */
     @PostMapping("/refresh")
     public ApiResponse<Map<String, Object>> refreshToken(@RequestBody Map<String, String> body) {
-        String userId = body.get("userId");
         String refreshToken = body.get("refreshToken");
-        if (userId == null || refreshToken == null) {
-            throw new com.danyang.match.platform.shared.exception.GlobalExceptionHandler.BusinessException(
-                    com.danyang.match.platform.shared.enums.ApiResponseCode.BAD_REQUEST, "参数缺失");
+        if (refreshToken == null || refreshToken.isBlank()) {
+            throw new BusinessException(ApiResponseCode.BAD_REQUEST, "refreshToken 不能为空");
         }
-        return ApiResponse.ok(authService.refreshToken(userId, refreshToken));
+        return ApiResponse.ok(authService.refreshToken(body.get("userId"), refreshToken));
     }
 
     /**

backend/src/main/java/com/danyang/match/platform/auth/controller/OperatorAuthController.java

@@ -1,8 +1,13 @@
 package com.danyang.match.platform.auth.controller;
 
+import com.danyang.match.platform.auth.cookie.OperatorCookieWriter;
 import com.danyang.match.platform.auth.service.OperatorAuthService;
+import com.danyang.match.platform.auth.token.JwtTokenService;
 import com.danyang.match.platform.shared.dto.ApiResponse;
 import com.danyang.match.platform.shared.enums.ApiResponseCode;
+import jakarta.servlet.http.Cookie;
+import jakarta.servlet.http.HttpServletRequest;
+import jakarta.servlet.http.HttpServletResponse;
 import lombok.RequiredArgsConstructor;
 import org.springframework.web.bind.annotation.PostMapping;
 import org.springframework.web.bind.annotation.RequestBody;
@@ -17,14 +22,83 @@ import java.util.Map;
 public class OperatorAuthController {
 
     private final OperatorAuthService operatorAuthService;
+    private final OperatorCookieWriter cookieWriter;
+    private final JwtTokenService jwtTokenService;
 
     @PostMapping("/login")
-    public ApiResponse<Map<String, Object>> login(@RequestBody Map<String, String> body) {
+    public ApiResponse<Map<String, Object>> login(@RequestBody Map<String, String> body,
+                                                 HttpServletRequest request, HttpServletResponse response) {
         String username = body.get("username");
         String password = body.get("password");
         if (username == null || username.isBlank() || password == null || password.isBlank()) {
             return ApiResponse.error(ApiResponseCode.BAD_REQUEST, "用户名和密码不能为空");
         }
-        return ApiResponse.ok(operatorAuthService.login(username, password));
+        Map<String, Object> result = operatorAuthService.login(username, password);
+        // 同时下发 HttpOnly + SameSite=Lax Cookie（access / refresh），抗 XSS 读取令牌
+        cookieWriter.writeLoginCookies(response,
+                (String) result.get("accessToken"), (String) result.get("refreshToken"),
+                jwtTokenService.getExpirationMs() / 1000, jwtTokenService.getRefreshExpirationMs() / 1000);
+        return ApiResponse.ok(result);
     }
-}
+
+    /**
+     * 刷新 Operator Token。
+     *
+     * <p>refresh token 优先取请求体（兼容旧前端/跨端口开发代理），缺省时回退到 HttpOnly Cookie
+     * {@code dy_op_rt}（生产同源场景，前端不持有 refresh token，抗 XSS）。
+     * 响应同时下发新的 access / refresh Cookie，实现刷新即轮换。
+     */
+    @PostMapping("/refresh")
+    public ApiResponse<Map<String, Object>> refresh(@RequestBody(required = false) Map<String, String> body,
+                                                   HttpServletRequest request, HttpServletResponse response) {
+        String refreshToken = (body != null) ? body.get("refreshToken") : null;
+        if (refreshToken == null || refreshToken.isBlank()) {
+            refreshToken = readCookie(request, OperatorCookieWriter.REFRESH_COOKIE);
+        }
+        if (refreshToken == null || refreshToken.isBlank()) {
+            return ApiResponse.error(ApiResponseCode.BAD_REQUEST, "缺少 Refresh Token");
+        }
+        String operatorId = (body != null) ? body.get("operatorId") : null;
+        Map<String, Object> result = operatorAuthService.refreshToken(operatorId, refreshToken);
+        cookieWriter.writeLoginCookies(response,
+                (String) result.get("accessToken"), (String) result.get("refreshToken"),
+                jwtTokenService.getExpirationMs() / 1000, jwtTokenService.getRefreshExpirationMs() / 1000);
+        return ApiResponse.ok(result);
+    }
+
+    /**
+     * 登出：后端将当前 access token 加入黑名单并清除 HttpOnly Cookie。
+     * token 取自 Authorization 头，缺省时回退到 access Cookie。
+     */
+    @PostMapping("/logout")
+    public ApiResponse<Void> logout(HttpServletRequest request, HttpServletResponse response) {
+        String token = readBearer(request);
+        if (token != null) {
+            try {
+                String operatorId = jwtTokenService.getUserIdFromToken(token);
+                operatorAuthService.logout(operatorId, token);
+            } catch (Exception ignored) {
+                // token 已失效也无妨，仍清除 Cookie
+            }
+        }
+        cookieWriter.clearCookies(response);
+        return ApiResponse.ok();
+    }
+
+    private String readCookie(HttpServletRequest request, String name) {
+        Cookie[] cookies = request.getCookies();
+        if (cookies == null) return null;
+        for (Cookie c : cookies) {
+            if (name.equals(c.getName())) return c.getValue();
+        }
+        return null;
+    }
+
+    private String readBearer(HttpServletRequest request) {
+        String header = request.getHeader("Authorization");
+        if (header != null && header.startsWith("Bearer ")) {
+            return header.substring(7);
+        }
+        return readCookie(request, OperatorCookieWriter.ACCESS_COOKIE);
+    }
+}

backend/src/main/java/com/danyang/match/platform/auth/cookie/OperatorCookieWriter.java

@@ -0,0 +1,50 @@
+package com.danyang.match.platform.auth.cookie;
+
+import jakarta.servlet.http.HttpServletResponse;
+import org.springframework.beans.factory.annotation.Value;
+import org.springframework.http.HttpHeaders;
+import org.springframework.http.ResponseCookie;
+import org.springframework.stereotype.Component;
+
+/**
+ * 管理端鉴权 Cookie 写入工具。
+ *
+ * <p>登录 / 刷新成功时下发 HttpOnly + SameSite=Lax 的 access / refresh Cookie；登出时清除。
+ * Cookie 为 HttpOnly，JS 无法读取，从根本上消除 XSS 读取令牌并外泄的风险（此前令牌存于
+ * 前端 localStorage，XSS 可读写并伪造权限）。
+ *
+ * <p>{@code Secure} 标志由 {@code app.auth-cookie-secure} 控制：生产（https）为 true；
+ * dev / docker（http）为 false，否则浏览器拒绝写入。
+ *
+ * <p>路径固定为 {@code /api/v1}（即后端 servlet context-path），确保只随同源 API 请求携带。
+ */
+@Component
+public class OperatorCookieWriter {
+
+    public static final String ACCESS_COOKIE = "dy_op_at";
+    public static final String REFRESH_COOKIE = "dy_op_rt";
+
+    @Value("${app.auth-cookie-secure:true}")
+    private boolean secure;
+
+    public void writeLoginCookies(HttpServletResponse response, String accessToken, String refreshToken,
+                                 long accessMaxAgeSec, long refreshMaxAgeSec) {
+        response.addHeader(HttpHeaders.SET_COOKIE, build(ACCESS_COOKIE, accessToken, accessMaxAgeSec).toString());
+        response.addHeader(HttpHeaders.SET_COOKIE, build(REFRESH_COOKIE, refreshToken, refreshMaxAgeSec).toString());
+    }
+
+    public void clearCookies(HttpServletResponse response) {
+        response.addHeader(HttpHeaders.SET_COOKIE, build(ACCESS_COOKIE, "", 0).toString());
+        response.addHeader(HttpHeaders.SET_COOKIE, build(REFRESH_COOKIE, "", 0).toString());
+    }
+
+    private ResponseCookie build(String name, String value, long maxAgeSec) {
+        return ResponseCookie.from(name, value)
+                .httpOnly(true)
+                .secure(secure)
+                .sameSite("Lax")
+                .path("/api/v1")
+                .maxAge(maxAgeSec)
+                .build();
+    }
+}

backend/src/main/java/com/danyang/match/platform/auth/provider/MockWechatLoginProvider.java

@@ -13,10 +13,15 @@ import java.util.UUID;
 import java.util.concurrent.ConcurrentHashMap;
 
 /**
- * Mock 微信登录 Provider（开发/测试环境使用）
+ * Mock 微信登录 Provider（开发/测试环境使用）。
+ *
+ * <p>属性已从 {@code verification.provider} 解耦为独立的 {@code wechat.login.provider}，
+ * 避免与实名核验 Provider 共用一把开关导致生产误启 Mock。
+ * 保留 {@code matchIfMissing = true}：未显式配置时本地/测试默认走 Mock；
+ * 生产必须在 {@code application-production.yml} 显式置 {@code wechat.login.provider=real}。
  */
 @Component
-@ConditionalOnProperty(name = "verification.provider", havingValue = "mock", matchIfMissing = true)
+@ConditionalOnProperty(name = "wechat.login.provider", havingValue = "mock", matchIfMissing = true)
 public class MockWechatLoginProvider implements WechatLoginProvider {
 
     private static final Logger log = LoggerFactory.getLogger(MockWechatLoginProvider.class);

backend/src/main/java/com/danyang/match/platform/auth/provider/RealWechatLoginProvider.java

@@ -0,0 +1,100 @@
+package com.danyang.match.platform.auth.provider;
+
+import com.danyang.match.platform.shared.enums.ApiResponseCode;
+import com.danyang.match.platform.shared.exception.GlobalExceptionHandler.BusinessException;
+import com.fasterxml.jackson.databind.JsonNode;
+import com.fasterxml.jackson.databind.ObjectMapper;
+import org.slf4j.Logger;
+import org.slf4j.LoggerFactory;
+import org.springframework.beans.factory.annotation.Value;
+import org.springframework.boot.autoconfigure.condition.ConditionalOnProperty;
+import org.springframework.stereotype.Component;
+import org.springframework.web.client.RestTemplate;
+
+import java.net.URLEncoder;
+import java.nio.charset.StandardCharsets;
+import java.util.HashMap;
+import java.util.Map;
+
+/**
+ * 真实微信登录 Provider（生产环境使用）。
+ *
+ * <p>通过 {@code code2session} 用登录临时凭证 {@code code} 换取 {@code openid / session_key / unionid}。
+ * 由配置 {@code wechat.login.provider=real} 激活；未显式配置时默认是 Mock（见 {@link MockWechatLoginProvider}），
+ * 因此生产环境必须在 {@code application-production.yml} 里显式置 {@code real}，否则启动即应失败（而非悄悄走 Mock）。
+ *
+ * <p>安全要点：
+ * <ul>
+ *   <li>{@code appId / appSecret} 必须来自环境变量（{@code WECHAT_APP_ID / WECHAT_APP_SECRET}），不得硬编码；
+ *       缺失即 fail-fast，避免用占位值放行任意 code。</li>
+ *   <li>code 必须进 URL 前编码；响应必须校验 {@code errcode}，微信对非法/过期 code 会返回 errcode 而非抛网络异常。</li>
+ *   <li>绝不把 appSecret / session_key 回传给前端。</li>
+ * </ul>
+ */
+@Component
+@ConditionalOnProperty(name = "wechat.login.provider", havingValue = "real")
+public class RealWechatLoginProvider implements WechatLoginProvider {
+
+    private static final Logger log = LoggerFactory.getLogger(RealWechatLoginProvider.class);
+    private static final String CODE2SESSION_URL = "https://api.weixin.qq.com/sns/jscode2session";
+
+    @Value("${wechat.app-id:}")
+    private String appId;
+
+    @Value("${wechat.app-secret:}")
+    private String appSecret;
+
+    private final RestTemplate restTemplate = new RestTemplate();
+    private final ObjectMapper objectMapper = new ObjectMapper();
+
+    @Override
+    public Map<String, String> getCodeSession(String code) {
+        if (appId == null || appId.isBlank() || appSecret == null || appSecret.isBlank()) {
+            // 配置缺失 = 生产未就绪，fail-fast 而非放行任意 code
+            throw new BusinessException(ApiResponseCode.SERVER_ERROR, "微信登录未配置 appId/appSecret");
+        }
+        if (code == null || code.isBlank()) {
+            throw new BusinessException(ApiResponseCode.BAD_REQUEST, "微信登录失败：缺少 code");
+        }
+
+        String url = CODE2SESSION_URL
+                + "?appid=" + appId
+                + "&secret=" + appSecret
+                + "&js_code=" + URLEncoder.encode(code, StandardCharsets.UTF_8)
+                + "&grant_type=authorization_code";
+
+        try {
+            String resp = restTemplate.getForObject(url, String.class);
+            JsonNode node = objectMapper.readTree(resp);
+            if (node.has("errcode") && node.get("errcode").asInt(0) != 0) {
+                log.warn("[Wechat] code2session 失败: errcode={}, errmsg={}",
+                        node.get("errcode").asText(), node.has("errmsg") ? node.get("errmsg").asText() : "");
+                throw new BusinessException(ApiResponseCode.BAD_REQUEST, "微信登录失败，请重试");
+            }
+            String openid = node.has("openid") ? node.get("openid").asText() : null;
+            if (openid == null || openid.isBlank()) {
+                throw new BusinessException(ApiResponseCode.BAD_REQUEST, "微信登录失败：无法获取 openid");
+            }
+            String sessionKey = node.has("session_key") ? node.get("session_key").asText() : null;
+            String unionid = node.has("unionid") ? node.get("unionid").asText() : null;
+
+            // 用 HashMap（允许 unionid 为 null），不要 Map.of（禁止 null 值）
+            Map<String, String> result = new HashMap<>();
+            result.put("openid", openid);
+            result.put("unionid", unionid);
+            result.put("session_key", sessionKey);
+            result.put("appid", appId);
+            return result;
+        } catch (BusinessException e) {
+            throw e;
+        } catch (Exception e) {
+            log.error("[Wechat] code2session 调用异常", e);
+            throw new BusinessException(ApiResponseCode.SERVER_ERROR, "微信登录服务异常");
+        }
+    }
+
+    @Override
+    public boolean isMock() {
+        return false;
+    }
+}

backend/src/main/java/com/danyang/match/platform/auth/service/AuthService.java

@@ -7,6 +7,9 @@ import com.danyang.match.platform.auth.provider.WechatLoginProvider;
 import com.danyang.match.platform.auth.token.JwtTokenService;
 import com.danyang.match.platform.capability.service.CapabilityService;
 import com.danyang.match.platform.shared.constant.Constants;
+import com.danyang.match.platform.shared.enums.ApiResponseCode;
+import com.danyang.match.platform.shared.exception.GlobalExceptionHandler.BusinessException;
+import com.danyang.match.platform.shared.exception.GlobalExceptionHandler.UnauthorizedException;
 import com.danyang.match.platform.local_eligibility.entity.LocalEligibility;
 import com.danyang.match.platform.local_eligibility.mapper.LocalEligibilityMapper;
 import com.danyang.match.platform.profile.entity.UserProfile;
@@ -27,6 +30,7 @@ import java.time.Duration;
 import java.util.HashMap;
 import java.util.Map;
 import java.util.Optional;
+import com.danyang.match.platform.shared.exception.GlobalExceptionHandler;
 
 @Service
 @RequiredArgsConstructor
@@ -58,7 +62,7 @@ public class AuthService {
         String unionid = session.get("unionid");
 
         if (openid == null || openid.isBlank()) {
-            throw new RuntimeException("微信登录失败：无法获取 openid");
+            throw new BusinessException(ApiResponseCode.BAD_REQUEST, "微信登录失败：无法获取 openid");
         }
 
         // 查找或创建用户
@@ -87,7 +91,9 @@ public class AuthService {
 
         // 将 refreshToken 存入 Redis（用于撤销）
         String refreshTokenKey = "auth:refresh_token:" + user.getId();
-        redisTemplate.opsForValue().set(refreshTokenKey, refreshToken, Duration.ofMillis(jwtTokenService.getExpirationMs() * 2));
+        // 刷新令牌 Redis 登记的 TTL 必须与 refresh JWT 自身有效期一致（getRefreshExpirationMs，
+        // 默认 14 天），否则 4h 后记录消失、刷新即失效，用户被迫频繁重新登录。
+        redisTemplate.opsForValue().set(refreshTokenKey, refreshToken, Duration.ofMillis(jwtTokenService.getRefreshExpirationMs()));
 
         // 记录审计日志
         saveAuditLog(user.getId(), null, "LOGIN", "user", user.getId(), null, null);
@@ -108,12 +114,12 @@ public class AuthService {
     public void bindPhone(String userId, String phoneCode) {
         // TODO: Phase 03 对接真实短信验证码
         User user = userMapper.findById(userId)
-                .orElseThrow(() -> new RuntimeException("用户不存在"));
+                .orElseThrow(() -> new GlobalExceptionHandler.BusinessException(ApiResponseCode.NOT_FOUND, "用户不存在"));
 
         // 检查手机号是否已被其他用户占用
         userMapper.findByPhone(phoneCode).ifPresent(existing -> {
             if (!existing.getId().equals(userId)) {
-                throw new RuntimeException("该手机号已被其他账号绑定");
+                throw new BusinessException(ApiResponseCode.CONFLICT, "该手机号已被其他账号绑定");
             }
         });
 
@@ -126,31 +132,58 @@ public class AuthService {
 
     /**
      * 刷新 Token
+     *
+     * <p><b>2026-09-22 修复三处缺陷</b>：
+     * <ol>
+     *   <li>验签用错了密钥：refresh token 由 refresh 密钥签发，此前却调
+     *       {@code validateToken}（用 access 密钥验签）→ 必然失败，
+     *       于是「刷新」这条路在修好前端字段名之后仍然走不通。改用
+     *       {@link JwtTokenService#validateRefreshToken}。</li>
+     *   <li>失败语义是 500：客户端据此判断为服务端故障并重试，实际应回 401
+     *       让它停止重试、走重新登录。改抛 {@link UnauthorizedException}。</li>
+     *   <li>userId 被强制要求：refresh token 的 subject 本身就是 userId，
+     *       让客户端重复传一个它已持有凭据里已包含的信息，只会制造
+     *       「漏传 → 400」这类无意义失败。改为**以令牌主体为准**，
+     *       显式传入时仅用于一致性校验。</li>
+     * </ol>
      */
     public Map<String, Object> refreshToken(String userId, String refreshToken) {
-        // 验证 Redis 中存储的 refresh token
-        String storedToken = redisTemplate.opsForValue().get("auth:refresh_token:" + userId);
-        if (storedToken == null || !storedToken.equals(refreshToken)) {
-            throw new RuntimeException("Refresh Token 无效或已过期");
+        if (refreshToken == null || refreshToken.isBlank()) {
+            throw new UnauthorizedException("Refresh Token 无效或已过期");
         }
 
-        // 验证 JWT
-        if (!jwtTokenService.validateToken(refreshToken)) {
-            throw new RuntimeException("Refresh Token 无效");
+        // 1. 令牌自证：签名有效（refresh 密钥）、未过期、type=refresh、未被撤销
+        if (!jwtTokenService.validateRefreshToken(refreshToken)) {
+            throw new UnauthorizedException("Refresh Token 无效或已过期");
+        }
+
+        // 2. 用户身份以令牌主体为准；客户端显式传入时必须是同一个用户，
+        //    否则就是拿 A 的令牌去刷 B 的会话。
+        String tokenUserId = jwtTokenService.getUserIdFromRefreshToken(refreshToken);
+        if (userId != null && !userId.isBlank() && !userId.equals(tokenUserId)) {
+            throw new UnauthorizedException("Refresh Token 与用户不匹配");
+        }
+        userId = tokenUserId;
+
+        // 3. 校验 Redis 中登记的令牌：登出或换发后，旧令牌立即失效（可撤销性）
+        String storedToken = redisTemplate.opsForValue().get("auth:refresh_token:" + userId);
+        if (storedToken == null || !storedToken.equals(refreshToken)) {
+            throw new UnauthorizedException("Refresh Token 无效或已过期");
         }
 
         // 签发新 Token
         String newAccessToken = jwtTokenService.generateAccessToken(userId, null);
         String newRefreshToken = jwtTokenService.generateRefreshToken(userId);
 
-        // 更新 Redis
+        // 更新 Redis：TTL 与 refresh JWT 一致（getRefreshExpirationMs），避免刷新记录先于令牌过期。
         redisTemplate.opsForValue().set("auth:refresh_token:" + userId, newRefreshToken,
-                Duration.ofMillis(jwtTokenService.getExpirationMs() * 2));
+                Duration.ofMillis(jwtTokenService.getRefreshExpirationMs()));
 
         Map<String, Object> result = new HashMap<>();
         result.put("accessToken", newAccessToken);
         result.put("refreshToken", newRefreshToken);
         result.put("expiresIn", accessTokenExpireMs / 1000);
+        result.put("userId", userId);
         return result;
     }
 
@@ -170,7 +203,7 @@ public class AuthService {
      */
     public Map<String, Object> getMeStatus(String userId) {
         User user = userMapper.findById(userId)
-                .orElseThrow(() -> new RuntimeException("用户不存在"));
+                .orElseThrow(() -> new GlobalExceptionHandler.BusinessException(ApiResponseCode.NOT_FOUND, "用户不存在"));
 
         Map<String, Object> status = new HashMap<>();
         status.put("userId", user.getId());
@@ -206,13 +239,13 @@ public class AuthService {
 
     private void checkAccountStatus(User user) {
         if (Constants.ACCOUNT_STATUS_CLOSED.equals(user.getAccountStatus())) {
-            throw new RuntimeException("账号已注销");
+            throw new BusinessException(ApiResponseCode.ACCOUNT_CLOSED, "账号已注销");
         }
         if (Constants.ACCOUNT_STATUS_BANNED.equals(user.getAccountStatus())) {
-            throw new RuntimeException("账号已被封禁");
+            throw new BusinessException(ApiResponseCode.USER_BANNED, "账号已被封禁");
         }
         if (Constants.ACCOUNT_STATUS_SUSPENDED.equals(user.getAccountStatus())) {
-            throw new RuntimeException("账号已暂停");
+            throw new BusinessException(ApiResponseCode.USER_SUSPENDED, "账号已暂停");
         }
     }
 

backend/src/main/java/com/danyang/match/platform/auth/service/OperatorAuthService.java

@@ -25,6 +25,7 @@ import java.util.HashMap;
 import java.util.List;
 import java.util.Map;
 import java.util.Set;
+import com.danyang.match.platform.shared.exception.GlobalExceptionHandler;
 
 @Service
 @RequiredArgsConstructor
@@ -144,7 +145,7 @@ public class OperatorAuthService {
      */
     public Map<String, Object> getMe(String operatorId) {
         Operator operator = operatorMapper.findById(operatorId)
-                .orElseThrow(() -> new RuntimeException("Operator 不存在"));
+                .orElseThrow(() -> new GlobalExceptionHandler.BusinessException(ApiResponseCode.NOT_FOUND, "Operator 不存在"));
 
         List<Permission> permissions = permissionMapper.findPermissionsByOperatorId(operatorId);
         List<String> permissionCodes = permissions.stream()
@@ -165,11 +166,25 @@ public class OperatorAuthService {
 
     /**
      * 刷新 Operator Token
+     *
+     * <p>与 {@link AuthService#refreshToken} 对齐两点（2026-09-22）：
+     * 令牌先自证（签名/有效期/type，用 refresh 密钥），再比对 Redis 登记值；
+     * 失败回 401 而非 500 —— 否则客户端会把「该重新登录」误判为服务端故障并重试。
      */
     public Map<String, Object> refreshToken(String operatorId, String refreshToken) {
+        if (refreshToken == null || refreshToken.isBlank()
+                || !jwtTokenService.validateRefreshToken(refreshToken)) {
+            throw new UnauthorizedException("Refresh Token 无效");
+        }
+
+        // 前端未传 operatorId 时，由 refresh token 自证身份（Cookie 场景下前端不持有 token）
+        if (operatorId == null || operatorId.isBlank()) {
+            operatorId = jwtTokenService.getUserIdFromRefreshToken(refreshToken);
+        }
+
         String storedToken = redisTemplate.opsForValue().get("auth:operator_refresh:" + operatorId);
         if (storedToken == null || !storedToken.equals(refreshToken)) {
-            throw new RuntimeException("Refresh Token 无效");
+            throw new UnauthorizedException("Refresh Token 无效");
         }
 
         Map<String, Object> operatorInfo = getMe(operatorId);
@@ -184,6 +199,12 @@ public class OperatorAuthService {
         result.put("accessToken", accessToken);
         result.put("refreshToken", newRefreshToken);
         result.put("expiresIn", jwtTokenService.getExpirationMs() / 1000);
+        // 同步 operator 概要：前端凭 HttpOnly refresh cookie 静默刷新后，可直接恢复菜单态，无需重新登录
+        result.put("operatorId", operatorInfo.get("operatorId"));
+        result.put("name", operatorInfo.get("name"));
+        result.put("username", operatorInfo.get("username"));
+        result.put("organizationId", operatorInfo.get("organizationId"));
+        result.put("permissions", operatorInfo.get("permissions"));
         return result;
     }
 

backend/src/main/java/com/danyang/match/platform/auth/token/JwtTokenService.java

@@ -10,11 +10,20 @@ import javax.crypto.SecretKey;
 import java.nio.charset.StandardCharsets;
 import java.util.Date;
 import java.util.Map;
+import java.util.UUID;
 
 @Component
 @RequiredArgsConstructor
 public class JwtTokenService {
 
+    /**
+     * Refresh Token 的用途声明值。
+     *
+     * <p>校验时必须匹配，见 {@link #validateRefreshToken}：一旦运维把两把密钥配成同一个值，
+     * 签名校验就无法区分两类令牌，只有这个声明能阻止 access token 被当作 refresh token 续期。
+     */
+    public static final String TOKEN_TYPE_REFRESH = "refresh";
+
     private final TokenBlacklistService tokenBlacklistService;
 
     @Value("${jwt.access-token-secret}")
@@ -46,6 +55,12 @@ public class JwtTokenService {
 
         JwtBuilder builder = Jwts.builder()
                 .subject(userId)
+                // 唯一标识（jti）不是装饰：载荷只有 subject / iat(秒级) / type，
+                // 同一用户在同一秒内重复签发会得到**逐字节相同**的令牌。
+                // 后果是刷新时写入 Redis 的「新」refresh token 与旧值相等，
+                // 于是「刷新即轮换、旧令牌立即作废」这一安全属性直接失效。
+                // 2026-09-22 实测：50 次签发只产生 1 个不同令牌。
+                .id(UUID.randomUUID().toString())
                 .issuedAt(now)
                 .expiration(expiry)
                 .claim("type", "access")
@@ -67,9 +82,15 @@ public class JwtTokenService {
 
         return Jwts.builder()
                 .subject(userId)
+                // 唯一标识（jti）不是装饰：载荷只有 subject / iat(秒级) / type，
+                // 同一用户在同一秒内重复签发会得到**逐字节相同**的令牌。
+                // 后果是刷新时写入 Redis 的「新」refresh token 与旧值相等，
+                // 于是「刷新即轮换、旧令牌立即作废」这一安全属性直接失效。
+                // 2026-09-22 实测：50 次签发只产生 1 个不同令牌。
+                .id(UUID.randomUUID().toString())
                 .issuedAt(now)
                 .expiration(expiry)
-                .claim("type", "refresh")
+                .claim("type", TOKEN_TYPE_REFRESH)
                 .signWith(getRefreshKey())
                 .compact();
     }
@@ -83,6 +104,12 @@ public class JwtTokenService {
 
         JwtBuilder builder = Jwts.builder()
                 .subject(operatorId)
+                // 唯一标识（jti）不是装饰：载荷只有 subject / iat(秒级) / type，
+                // 同一用户在同一秒内重复签发会得到**逐字节相同**的令牌。
+                // 后果是刷新时写入 Redis 的「新」refresh token 与旧值相等，
+                // 于是「刷新即轮换、旧令牌立即作废」这一安全属性直接失效。
+                // 2026-09-22 实测：50 次签发只产生 1 个不同令牌。
+                .id(UUID.randomUUID().toString())
                 .issuedAt(now)
                 .expiration(expiry)
                 .claim("type", "operator_access")
@@ -142,9 +169,67 @@ public class JwtTokenService {
     }
 
     /**
-     * 获取 Token 过期时间
+     * 验证并解析 **Refresh** Token。
+     *
+     * <p><b>必须用 refresh 密钥验签</b>：{@link #generateRefreshToken} 用
+     * {@code jwt.refresh-token-secret} 签发，而 {@link #parseToken} 用的是
+     * {@code jwt.access-token-secret}。两把密钥在 dev / test / production 的取值
+     * 各不相同（见 application-*.yml），因此拿 {@code parseToken} 去验 refresh token
+     * 必然抛签名异常 —— 这正是 2026-09-22 定位到的「刷新永远失败 → 登录态被清 →
+     * 全站 401」的根因：前端此前修好了缺 userId 的 400，仍会在这一层必然失败。
+     */
+    public Claims parseRefreshToken(String token) {
+        return Jwts.parser()
+                .verifyWith(getRefreshKey())
+                .build()
+                .parseSignedClaims(token)
+                .getPayload();
+    }
+
+    /**
+     * 校验 Refresh Token：签名有效、未过期、未被撤销，且 {@code type} 必须为 refresh。
+     *
+     * <p>type 断言不是冗余：一旦运维把两把密钥配成同一个值（或都用了默认占位值），
+     * 签名校验就无法区分两类令牌，access token 会被当作 refresh token 换出新令牌，
+     * 使「短期凭证」获得「长期凭证」的续期能力。此处把令牌用途钉死在声明里。
+     */
+    public boolean validateRefreshToken(String token) {
+        if (token == null || token.isBlank()) {
+            return false;
+        }
+        try {
+            if (tokenBlacklistService.isBlacklisted(token)) {
+                return false;
+            }
+            return TOKEN_TYPE_REFRESH.equals(parseRefreshToken(token).get("type", String.class));
+        } catch (JwtException | IllegalArgumentException e) {
+            return false;
+        }
+    }
+
+    /**
+     * 从 Refresh Token 解析用户 ID（用于客户端未传 userId 时自证身份，见 AuthService#refreshToken）。
+     */
+    public String getUserIdFromRefreshToken(String token) {
+        return parseRefreshToken(token).getSubject();
+    }
+
+    /**
+     * 获取 Access Token 过期时间（毫秒）
      */
     public long getExpirationMs() {
         return accessExpirationMs;
     }
+
+    /**
+     * 获取 Refresh Token 过期时间（毫秒）。
+     *
+     * <p>刷新令牌 Redis 登记的 TTL 必须使用本值，而不是 {@link #getExpirationMs()}
+     * （access 过期，默认 2h）。此前 AuthService 用 {@code getExpirationMs() * 2}
+     * 把 Redis 记录设成 4h，而 refresh JWT 自身有效期是 {@code refreshExpirationMs}
+     * （默认 14 天）—— 4h 后 Redis 记录消失，刷新即抛未授权，用户被迫每 4h 重新登录。
+     */
+    public long getRefreshExpirationMs() {
+        return refreshExpirationMs;
+    }
 }

backend/src/main/java/com/danyang/match/platform/counseling/service/CounselingService.java

@@ -1,5 +1,6 @@
 package com.danyang.match.platform.counseling.service;
 
+import com.danyang.match.platform.audit.service.AuditLogService;
 import com.danyang.match.platform.counseling.entity.CounselingFollowup;
 import com.danyang.match.platform.counseling.entity.CounselingServiceRecord;
 import com.danyang.match.platform.counseling.mapper.CounselingFollowupMapper;
@@ -78,6 +79,7 @@ public class CounselingService {
     private final NotificationService notificationService;
     private final RiskReferralService riskReferralService;
     private final DataScopeGuard dataScopeGuard;
+    private final AuditLogService auditLogService;
 
     // ==================== 用户端：申请 ====================
 
@@ -264,6 +266,23 @@ public class CounselingService {
         fu.setResultCode(resultCode);
         fu.setNextFollowupAt(nextFollowupAt);
         followupMapper.insert(fu);
+
+        // P13A-T33: 随访正文与申请摘要共用同一风险检测（来源同为 source=counseling）。
+        // 随访由 counselor 撰写、更贴近用户近况，是风险关键词的另一个真实入口；
+        // 此前只有申请摘要（apply:133）被扫描，随访正文完全绕过风控。
+        // INV-013 加固同 apply：绝不记录正文，只记级别与记录 ID。
+        CounselingServiceRecord owner = mapper.findFull(serviceId);
+        if (owner != null) {
+            try {
+                String riskLevel = riskReferralService.detectCounselingRisk(owner.getUserId(), content);
+                if (riskLevel != null) {
+                    log.info("随访内容触发风险检测: serviceId={}, followupId={}, riskLevel={}",
+                            serviceId, fu.getId(), riskLevel);
+                }
+            } catch (Exception e) {
+                log.warn("随访风险检测异常: serviceId={}, err={}", serviceId, e.getMessage());
+            }
+        }
         return fu;
     }
 
@@ -333,6 +352,12 @@ public class CounselingService {
                     "INV-012: 只能查看分配给自己的咨询服务");
             return null;
         }
+        // P13A-T31: assigned Counselor 读取的是**他人**的咨询正文与随访记录 ——
+        // 敏感访问必须留痕（同 Phase 17 report/risk_profile 的 recordSensitiveAccess 模式）。
+        // 本人读自己的不算敏感访问；manager/matchmaker 走脱敏摘要视图，不触正文，无需审计。
+        if (isAssignedCounselor) {
+            auditLogService.recordSensitiveAccess(requesterId, "counseling_followup", serviceId);
+        }
         return svc;
     }
 

backend/src/main/java/com/danyang/match/platform/match/entity/RecommendationRecord.java

@@ -20,4 +20,9 @@ public class RecommendationRecord extends BaseEntity {
     private String action; // liked, passed, blocked, matched
     private java.time.Instant actionAt;
     private Integer ruleVersion;
+    /**
+     * 推荐判定当次所用的最低评分阈值快照（V050，MATCH-001）。
+     * 配合 {@link #ruleVersion} 追溯历史推荐依据的规则版本；历史行为 null。
+     */
+    private Integer thresholdSnapshot;
 }

backend/src/main/java/com/danyang/match/platform/match/service/MatchEligibilityService.java

@@ -46,6 +46,8 @@ public class MatchEligibilityService {
     private final UserMapper userMapper;
     private final UserProfileMapper userProfileMapper;
     private final LocalEligibilityMapper localEligibilityMapper;
+    /** 评分与双向 Required 的唯一事实源（2026-09-23 去桩：原候选池/评分/Required 均为 TODO 空实现）。 */
+    private final MatchScoringService matchScoringService;
 
     /**
      * 获取每日推荐列表
@@ -103,14 +105,17 @@ public class MatchEligibilityService {
             return null;
         }
 
-        // 2. 双向 Required 检查
+        // 2. 双向 Required 检查（唯一事实源 MatchScoringService；INV-001 Required 不可自动放宽）
         UserPreference targetPref = preferenceMapper.findByUserId(targetUserId).orElse(null);
         if (targetPref == null) {
             return null; // 目标用户未设置择偶条件，无法双向验证
         }
-
-        // A → B Required 检查
-        if (!checkBidirectionalRequired(myPref, targetPref)) {
+        UserProfile myProfile = userProfileMapper.findByUserId(userId).orElse(null);
+        UserProfile targetProfile = userProfileMapper.findByUserId(targetUserId).orElse(null);
+        if (myProfile == null || targetProfile == null) {
+            return null; // 资料缺失则无法核验 Required，不假定满足
+        }
+        if (!matchScoringService.bidirectionalRequiredSatisfied(myPref, myProfile, targetPref, targetProfile)) {
             return null;
         }
 
@@ -175,36 +180,18 @@ public class MatchEligibilityService {
         return "verified".equals(el.getVerificationStatus());
     }
 
-    /**
-     * 双向 Required 检查
-     * Required 是 Hard Constraint，不可自动放宽
-     */
-    private boolean checkBidirectionalRequired(UserPreference myPref, UserPreference targetPref) {
-        // 需要通过外部传入的 UserProfile 检查，本方法只比较 Preference
-        // 完整检查在 getDailyRecommendations 的循环中调用 evaluateCandidate
-        // 此处仅返回 true（实际过滤由 evaluateCandidate 的 isBasicEligible 和 Profile 数据完成）
-        return true;
-    }
+    // checkBidirectionalRequired 已于 2026-09-23 收敛进 MatchScoringService.bidirectionalRequiredSatisfied
+    // （原实现恒 return true，等于 Required 不生效——已删除，避免「声明做校验实际不校验」的 landmine）。
 
     /**
      * 方向性评分（A对B的适配度）
      * 基于 Preferred 维度计算 0-100 分
      */
     private double directionalScore(String fromUserId, String toUserId, UserPreference pref) {
-        double score = 0;
-        double totalWeight = pref.getAgeWeight() + pref.getRegionWeight() +
-                pref.getMaritalWeight() + pref.getChildrenWeight() +
-                pref.getEducationWeight() + pref.getHeightWeight() +
-                pref.getMarriagePlanWeight() + pref.getSettlementWeight() +
-                pref.getLifestyleWeight() + pref.getInterestWeight();
-
-        // TODO: 实现各维度评分逻辑
-        // 年龄匹配：在范围内得满分，超出范围按比例扣分
-        // 地区匹配：同地区得满分，不同地区按比例扣分
-        // ...
-
-        if (totalWeight == 0.0) return 50.0; // 无权重配置时给默认分
-        return (int)(Math.round(score / totalWeight * 100));
+        // 委托唯一事实源；此前 score 恒 0（TODO 未实现）→ 任何候选都被阈值过滤。
+        return userProfileMapper.findByUserId(toUserId)
+                .map(p -> matchScoringService.scoreDirectionally(pref, p))
+                .orElse(0.0);
     }
 
     /**
@@ -212,20 +199,21 @@ public class MatchEligibilityService {
      */
     private List<String> generateReasons(String userId, String targetUserId,
                                           UserPreference myPref, UserPreference targetPref) {
-        List<String> reasons = new ArrayList<>();
-        // TODO: 根据实际资料生成真实推荐理由
-        reasons.add("年龄符合双方择偶要求");
-        reasons.add("都长期生活在丹阳");
-        reasons.add("婚姻计划接近");
-        return reasons;
+        // 委托唯一事实源，按实际达成维度生成（此前为无条件套话）。
+        return userProfileMapper.findByUserId(targetUserId)
+                .map(p -> matchScoringService.reasons(myPref, p))
+                .orElseGet(ArrayList::new);
     }
 
     /**
      * 获取已Pass的用户ID集合（冷却期内）
      */
     private Set<String> getPassedUserIds(String userId, Instant since) {
-        // TODO: 查询 user_relations 表中 passed 关系的 target_user_id
-        return Collections.emptySet();
+        // 此前恒返回空集（TODO）→ Pass 冷却期失效；改为读取推荐记录中的 passed 行为。
+        return recommendationRecordMapper.findRecentByUserId(userId, since).stream()
+                .filter(r -> "passed".equals(r.getAction()))
+                .map(RecommendationRecord::getTargetUserId)
+                .collect(Collectors.toSet());
     }
 
     /**
@@ -240,14 +228,28 @@ public class MatchEligibilityService {
     }
 
     /**
-     * 构建候选池（简化版）
-     * TODO: Phase 06 后续接入数据库查询可用用户
+     * 构建候选池：查库取「性别相反 + 审核通过 + 未软删」的用户，再排除自己/已 Pass 冷却期/今日已推荐。
+     * （2026-09-23：替换原 `return List.of()` 空实现。）
      */
     private List<String> buildCandidatePool(String userId, UserPreference myPref,
                                              Set<String> excludedIds, Set<String> alreadyRecommended) {
-        // TODO: 从数据库查询符合条件的用户
-        // 当前返回空列表，等待后续阶段完善
-        return List.of();
+        // 此前 return List.of()（TODO 未实现）→ 此路径必然无候选。
+        // 基础过滤：性别相反 + 审核通过 + 未软删；其余条件在 evaluateCandidate 逐条判定。
+        UserProfile me = userProfileMapper.findByUserId(userId).orElse(null);
+        com.baomidou.mybatisplus.core.conditions.query.LambdaQueryWrapper<UserProfile> wrapper =
+                new com.baomidou.mybatisplus.core.conditions.query.LambdaQueryWrapper<>();
+        wrapper.isNotNull(UserProfile::getGender)
+                .eq(UserProfile::getProfileStatus, Constants.PROFILE_STATUS_APPROVED)
+                .isNull(UserProfile::getDeletedAt);
+        if (me != null && me.getGender() != null && !me.getGender().isBlank()) {
+            wrapper.ne(UserProfile::getGender, me.getGender());
+        }
+        return userProfileMapper.selectList(wrapper).stream()
+                .map(UserProfile::getUserId)
+                .filter(id -> !id.equals(userId))
+                .filter(id -> !excludedIds.contains(id))
+                .filter(id -> !alreadyRecommended.contains(id))
+                .collect(Collectors.toList());
     }
 
     private RecommendationCandidateDTO toDTO(String userId, double score, List<String> reasons) {

backend/src/main/java/com/danyang/match/platform/match/service/MatchScoringService.java

@@ -0,0 +1,284 @@
+package com.danyang.match.platform.match.service;
+
+import com.danyang.match.platform.profile.entity.UserPreference;
+import com.danyang.match.platform.profile.entity.UserProfile;
+import com.fasterxml.jackson.databind.JsonNode;
+import org.springframework.stereotype.Service;
+
+import java.time.LocalDate;
+import java.time.Period;
+import java.util.ArrayList;
+import java.util.List;
+import java.util.Map;
+
+/**
+ * 匹配评分 —— **全仓唯一事实源**。
+ *
+ * <p>背景：`RecommendationEngineService.calculateScore` 与
+ * `MatchEligibilityService.directionalScore` 曾各自是**桩**（前者 `return 50.0`、
+ * 后者 `score` 恒 0），而阈值 `match.default-score-threshold` 默认 60 →
+ * `mutualScore < 60` 恒成立 → **推荐列表恒为空**（2026-09-23 UAT 走查实测确认）。
+ * 且两处评分逻辑重复，是典型的「双实现漂移」隐患。
+ *
+ * <p>本类把「择偶条件 × 候选人资料」的方向性评分收敛到一处，供两条推荐路径共用。
+ *
+ * <p><b>规则（不新造常量）</b>：直接使用 {@link UserPreference} 上<b>已存在</b>的
+ * 十个维度权重；只为「用户实际设置了的条件」计分（未设置 = 不构成约束，不计入分母）。
+ * 某维度上候选人缺少可用于判定的资料时，该维度计 0 分（「无法核验即不假定满足」，
+ * 与 Required「不可自动放宽」一致）。若用户未设置任何条件，视为无约束 → 返回 100。
+ *
+ * <p>返回值域 0–100；调用方按 `match.default-score-threshold`（技术默认 60，OQ-MATCH-001）过滤。
+ */
+@Service
+public class MatchScoringService {
+
+    /** 学历高低序列，取索引差做比较（与 chk_profile_edu 顺序一致）。 */
+    private static final List<String> EDUCATION_ORDER = List.of(
+            "primary", "junior_high", "senior_high", "vocational", "college", "bachelor", "master", "doctor");
+
+    /**
+     * 方向性评分：seeker 的择偶条件对 candidate 资料的适配度（0–100）。
+     *
+     * @param pref          seeker 的择偶条件（可为 null → 无约束）
+     * @param candidate     候选人资料
+     */
+    public double scoreDirectionally(UserPreference pref, UserProfile candidate) {
+        if (candidate == null) return 0;
+        if (pref == null) return 100;
+
+        double acc = 0;      // 加权得分
+        double denom = 0;    // 已设置条件的权重合计
+
+        // —— 年龄 ——（设置了 min/maxAge 才构成约束）
+        if (pref.getMinAge() != null && pref.getMaxAge() != null) {
+            double w = w(pref.getAgeWeight());
+            denom += w;
+            acc += w * rangeRatio(age(candidate.getBirthDate()), pref.getMinAge(), pref.getMaxAge());
+        }
+        // —— 身高 ——
+        if (pref.getMinHeightCm() != null && pref.getMaxHeightCm() != null) {
+            double w = w(pref.getHeightWeight());
+            denom += w;
+            Integer h = candidate.getHeightCm();
+            acc += w * (h == null ? 0 : rangeRatio(h, pref.getMinHeightCm(), pref.getMaxHeightCm()));
+        }
+        // —— 地区（regionScope 为地区码数组）——
+        if (hasJsonArray(pref.getRegionScope())) {
+            double w = w(pref.getRegionWeight());
+            denom += w;
+            acc += w * (inJsonArray(pref.getRegionScope(), candidate.getRegionCode()) ? 1 : 0);
+        }
+        // —— 婚姻状况（maritalStatuses 数组）——
+        if (hasJsonArray(pref.getMaritalStatuses())) {
+            double w = w(pref.getMaritalWeight());
+            denom += w;
+            acc += w * (inJsonArray(pref.getMaritalStatuses(), candidate.getMaritalStatus()) ? 1 : 0);
+        }
+        // —— 子女（childrenAcceptance：any/accept/reject，兼容中文）——
+        if (notBlank(pref.getChildrenAcceptance())) {
+            double w = w(pref.getChildrenWeight());
+            denom += w;
+            acc += w * (childrenAcceptable(pref.getChildrenAcceptance(), candidate.getChildrenStatus()) ? 1 : 0);
+        }
+        // —— 学历（minEducationCode 为下限）——
+        if (notBlank(pref.getMinEducationCode())) {
+            double w = w(pref.getEducationWeight());
+            denom += w;
+            acc += w * (educationAtLeast(candidate.getEducationCode(), pref.getMinEducationCode()) ? 1 : 0);
+        }
+        // —— 婚恋规划（marriagePlanPreference 与 candidate.marriagePlan 一致）——
+        if (notBlank(pref.getMarriagePlanPreference())) {
+            double w = w(pref.getMarriagePlanWeight());
+            denom += w;
+            acc += w * (sameValue(pref.getMarriagePlanPreference(), candidate.getMarriagePlan()) ? 1 : 0);
+        }
+        // —— 定居意愿（settlementPreference 对照 candidate 长期/未来丹阳意向）——
+        if (notBlank(pref.getSettlementPreference())) {
+            double w = w(pref.getSettlementWeight());
+            denom += w;
+            boolean ok = sameValue(pref.getSettlementPreference(), candidate.getLongTermDanyang())
+                    || sameValue(pref.getSettlementPreference(), candidate.getFutureDanyang());
+            acc += w * (ok ? 1 : 0);
+        }
+        // —— 生活方式（吸烟 / 饮酒，取已设置者的均值）——
+        double lifeW = w(pref.getLifestyleWeight());
+        int lifeDims = 0;
+        double lifeHit = 0;
+        if (notBlank(pref.getSmokingPreference())) {
+            lifeDims++;
+            if (sameValue(pref.getSmokingPreference(), candidate.getSmokingStatus())) lifeHit++;
+        }
+        if (notBlank(pref.getDrinkingPreference())) {
+            lifeDims++;
+            if (sameValue(pref.getDrinkingPreference(), candidate.getDrinkingStatus())) lifeHit++;
+        }
+        if (lifeDims > 0) {
+            denom += lifeW;
+            acc += lifeW * (lifeHit / lifeDims);
+        }
+        // interestWeight：当前无对应择偶条件字段，不参与计分（保留权重以备扩展）。
+
+        if (denom == 0) return 100;   // 用户未设置任何条件 → 无约束
+        return clamp(acc / denom * 100.0);
+    }
+
+    /**
+     * 生成中文推荐理由（基于**实际达成**的维度，不再是无条件套话）。
+     * 未达成任何具体维度时回退为「资料符合基本要求」。
+     */
+    public List<String> reasons(UserPreference pref, UserProfile candidate) {
+        List<String> out = new ArrayList<>();
+        if (pref == null || candidate == null) return out;
+        if (pref.getMinAge() != null && pref.getMaxAge() != null
+                && rangeRatio(age(candidate.getBirthDate()), pref.getMinAge(), pref.getMaxAge()) > 0) {
+            out.add("年龄在您的要求范围内");
+        }
+        if (hasJsonArray(pref.getRegionScope()) && inJsonArray(pref.getRegionScope(), candidate.getRegionCode())) {
+            out.add("同在您期望的地区");
+        }
+        if (hasJsonArray(pref.getMaritalStatuses())
+                && inJsonArray(pref.getMaritalStatuses(), candidate.getMaritalStatus())) {
+            out.add("婚姻状况符合您的期望");
+        }
+        if (notBlank(pref.getMinEducationCode())
+                && educationAtLeast(candidate.getEducationCode(), pref.getMinEducationCode())) {
+            out.add("学历符合您的要求");
+        }
+        if (notBlank(pref.getAgePriority()) && "required".equals(pref.getAgePriority())) {
+            out.add("年龄为您设定的必要条件");
+        }
+        if (out.isEmpty()) out.add("资料符合基本要求");
+        return out;
+    }
+
+    /**
+     * 双向 Required 硬约束校验（INV-001「Required 不可自动放宽」）——唯一事实源。
+     *
+     * <p>任一方把某维度设为 `required`，则对方该维度<b>必须</b>落在要求内，否则整条候选被否。
+     * 覆盖年龄 / 身高 / 地区 / 婚姻状况四类（当前产品定义的 Required 维度）。
+     *
+     * @return true 表示双向 Required 全部满足
+     */
+    public boolean bidirectionalRequiredSatisfied(UserPreference myPref, UserProfile myProfile,
+                                                  UserPreference targetPref, UserProfile targetProfile) {
+        if (myPref == null || myProfile == null || targetPref == null || targetProfile == null) return false;
+
+        // 年龄
+        if (isRequired(myPref.getAgePriority()) && myPref.getMinAge() != null && myPref.getMaxAge() != null) {
+            Integer candAge = age(targetProfile.getBirthDate());
+            if (candAge == null || candAge < myPref.getMinAge() || candAge > myPref.getMaxAge()) return false;
+        }
+        if (isRequired(targetPref.getAgePriority()) && targetPref.getMinAge() != null && targetPref.getMaxAge() != null) {
+            Integer myAge = age(myProfile.getBirthDate());
+            if (myAge == null || myAge < targetPref.getMinAge() || myAge > targetPref.getMaxAge()) return false;
+        }
+        // 身高
+        if (isRequired(myPref.getHeightPriority()) && myPref.getMinHeightCm() != null && myPref.getMaxHeightCm() != null) {
+            Integer h = targetProfile.getHeightCm();
+            if (h == null || h < myPref.getMinHeightCm() || h > myPref.getMaxHeightCm()) return false;
+        }
+        if (isRequired(targetPref.getHeightPriority()) && targetPref.getMinHeightCm() != null && targetPref.getMaxHeightCm() != null) {
+            Integer h = myProfile.getHeightCm();
+            if (h == null || h < targetPref.getMinHeightCm() || h > targetPref.getMaxHeightCm()) return false;
+        }
+        // 地区（Required 用 isJsonArray：空数组=自相矛盾的硬约束 → 拒绝；不可放宽为「无约束」）
+        if (isRequired(myPref.getRegionPriority()) && isJsonArray(myPref.getRegionScope())
+                && !inJsonArray(myPref.getRegionScope(), targetProfile.getRegionCode())) return false;
+        if (isRequired(targetPref.getRegionPriority()) && isJsonArray(targetPref.getRegionScope())
+                && !inJsonArray(targetPref.getRegionScope(), myProfile.getRegionCode())) return false;
+        // 婚姻状况
+        if (isRequired(myPref.getMaritalPriority()) && isJsonArray(myPref.getMaritalStatuses())
+                && !inJsonArray(myPref.getMaritalStatuses(), targetProfile.getMaritalStatus())) return false;
+        if (isRequired(targetPref.getMaritalPriority()) && isJsonArray(targetPref.getMaritalStatuses())
+                && !inJsonArray(targetPref.getMaritalStatuses(), myProfile.getMaritalStatus())) return false;
+
+        return true;
+    }
+
+    private static boolean isRequired(String priority) { return "required".equals(priority); }
+
+    // ==================== 私有工具 ====================
+
+    private static double w(Double v) { return v == null ? 0 : Math.max(0, v); }
+
+    private static boolean notBlank(String s) { return s != null && !s.isBlank(); }
+
+    private static Integer age(LocalDate birthDate) {
+        if (birthDate == null) return null;
+        return Period.between(birthDate, LocalDate.now()).getYears();
+    }
+
+    /** 在 [min,max] 内 → 1；否则按越界距离线性衰减（跨度越大衰减越慢），最低 0。 */
+    private static double rangeRatio(Integer value, int min, int max) {
+        if (value == null) return 0;
+        if (min > max) { int t = min; min = max; max = t; }
+        if (value >= min && value <= max) return 1.0;
+        int span = Math.max(1, max - min);
+        int distance = value < min ? (min - value) : (value - max);
+        return Math.max(0.0, 1.0 - (double) distance / span);
+    }
+
+    /** 评分用：仅当数组**非空**才算「用户表达了该条件」。空数组 = 未设置，不计入分母。 */
+    private static boolean hasJsonArray(JsonNode node) {
+        return node != null && node.isArray() && node.size() > 0;
+    }
+
+    /**
+     * Required 校验用：只要节点是数组即「用户声明了该硬约束」。
+     * 空数组是自相矛盾的声明（要求必填却无任何可接受值）→ 交由调用方判为不满足，
+     * 与「Required 不可自动放宽」（INV-001）一致；不可退化成「无约束」。
+     */
+    private static boolean isJsonArray(JsonNode node) {
+        return node != null && node.isArray();
+    }
+
+    private static boolean inJsonArray(JsonNode node, String value) {
+        if (node == null || !node.isArray() || value == null) return false;
+        for (int i = 0; i < node.size(); i++) {
+            if (value.equals(node.get(i).asText())) return true;
+        }
+        return false;
+    }
+
+    /** 子女接受度：any/不限 → 恒满足；accept/可接受 → 有孩与否皆可；reject/不接受 → 仅无孩。 */
+    private static boolean childrenAcceptable(String acceptance, String childrenStatus) {
+        String a = acceptance == null ? "" : acceptance.trim();
+        boolean candidateHasChildren = "yes".equals(childrenStatus) || "has".equals(childrenStatus)
+                || "有".equals(childrenStatus);
+        return switch (a) {
+            case "any", "不限" -> true;
+            case "accept", "可接受" -> true;      // 接受带孩（且同样接受无孩）
+            case "reject", "不接受" -> !candidateHasChildren;
+            default -> true;
+        };
+    }
+
+    private static boolean educationAtLeast(String candidateCode, String minCode) {
+        int ci = EDUCATION_ORDER.indexOf(candidateCode);
+        int mi = EDUCATION_ORDER.indexOf(minCode);
+        if (mi < 0) return true;          // 下限码不在白名单 → 不做约束
+        if (ci < 0) return false;         // 候选人学历缺失/未知 → 无法核验，不假定满足
+        return ci >= mi;
+    }
+
+    /** 宽松相等：去空白、忽略大小写；两边都非空才比较。 */
+    private static boolean sameValue(String a, String b) {
+        if (!notBlank(a) || !notBlank(b)) return false;
+        return a.trim().equalsIgnoreCase(b.trim());
+    }
+
+    private static double clamp(double v) {
+        if (v < 0) return 0;
+        if (v > 100) return 100;
+        return v;
+    }
+
+    /** 便于单测/文档：常量键说明。 */
+    public static Map<String, String> weightKeys() {
+        return Map.of(
+                "age", "ageWeight", "region", "regionWeight", "marital", "maritalWeight",
+                "children", "childrenWeight", "education", "educationWeight", "height", "heightWeight",
+                "marriagePlan", "marriagePlanWeight", "lifestyle", "lifestyleWeight",
+                "settlement", "settlementWeight", "interest", "interestWeight");
+    }
+}

backend/src/main/java/com/danyang/match/platform/match/service/RecommendationEngineService.java

@@ -26,7 +26,6 @@ import org.springframework.transaction.annotation.Transactional;
 
 import java.time.Instant;
 import java.time.LocalDate;
-import java.time.Period;
 import java.time.temporal.ChronoUnit;
 import java.util.*;
 import java.util.concurrent.TimeUnit;
@@ -55,6 +54,8 @@ public class RecommendationEngineService {
     private final UserMapper userMapper;
     private final UserPrivacySettingsMapper privacySettingsMapper;
     private final LocalEligibilityMapper localEligibilityMapper;
+    /** 评分唯一事实源（2026-09-23：替换原 `return 50.0` 桩，修复「推荐恒空」）。 */
+    private final MatchScoringService matchScoringService;
 
     /**
      * 获取每日推荐列表
@@ -241,86 +242,16 @@ public class RecommendationEngineService {
         return userProfileMapper.findByUserId(userId).orElse(null);
     }
 
+    /**
+     * 双向 Required 硬约束校验（INV-001「Required 不可自动放宽」）——委托
+     * {@link MatchScoringService#bidirectionalRequiredSatisfied} 唯一事实源。
+     *
+     * <p>此前本方法自带一份等价实现，与事实源构成「双实现漂移」隐患；2026-09-23 收敛为单点。
+     * 参数对映：本方法的 {@code candidate} 即事实源签名中的 {@code targetProfile}。
+     */
     boolean checkBidirectionalRequired(UserPreference myPref, UserProfile candidate,
                                        UserPreference targetPref, UserProfile myProfile) {
-        if (myPref == null || candidate == null || targetPref == null || myProfile == null) return false;
-        // 1. 年龄 Required 检查
-        if ("required".equals(myPref.getAgePriority()) && myPref.getMinAge() != null && myPref.getMaxAge() != null) {
-            int candidateAge = calculateAge(candidate.getBirthDate());
-            if (candidateAge < myPref.getMinAge() || candidateAge > myPref.getMaxAge()) {
-                return false;
-            }
-        }
-        if ("required".equals(targetPref.getAgePriority()) && targetPref.getMinAge() != null && targetPref.getMaxAge() != null) {
-            int myAge = calculateAge(myProfile.getBirthDate());
-            if (myAge < targetPref.getMinAge() || myAge > targetPref.getMaxAge()) {
-                return false;
-            }
-        }
-
-        // 2. 身高 Required 检查
-        if ("required".equals(myPref.getHeightPriority())
-                && myPref.getMinHeightCm() != null && myPref.getMaxHeightCm() != null) {
-            if (candidate.getHeightCm() == null
-                    || candidate.getHeightCm() < myPref.getMinHeightCm()
-                    || candidate.getHeightCm() > myPref.getMaxHeightCm()) {
-                return false;
-            }
-        }
-        if ("required".equals(targetPref.getHeightPriority())
-                && targetPref.getMinHeightCm() != null && targetPref.getMaxHeightCm() != null) {
-            if (myProfile.getHeightCm() == null
-                    || myProfile.getHeightCm() < targetPref.getMinHeightCm()
-                    || myProfile.getHeightCm() > targetPref.getMaxHeightCm()) {
-                return false;
-            }
-        }
-
-        // 3. 地区 Required 检查
-        if ("required".equals(myPref.getRegionPriority()) && myPref.getRegionScope() != null && myPref.getRegionScope().isArray()) {
-            boolean inScope = false;
-            for (int i = 0; i < myPref.getRegionScope().size(); i++) {
-                if (myPref.getRegionScope().get(i).asText().equals(candidate.getRegionCode())) {
-                    inScope = true;
-                    break;
-                }
-            }
-            if (!inScope) return false;
-        }
-        if ("required".equals(targetPref.getRegionPriority()) && targetPref.getRegionScope() != null && targetPref.getRegionScope().isArray()) {
-            boolean inScope = false;
-            for (int i = 0; i < targetPref.getRegionScope().size(); i++) {
-                if (targetPref.getRegionScope().get(i).asText().equals(myProfile.getRegionCode())) {
-                    inScope = true;
-                    break;
-                }
-            }
-            if (!inScope) return false;
-        }
-
-        // 4. 婚姻状况 Required 检查
-        if ("required".equals(myPref.getMaritalPriority()) && myPref.getMaritalStatuses() != null && myPref.getMaritalStatuses().isArray()) {
-            boolean accepted = false;
-            for (int i = 0; i < myPref.getMaritalStatuses().size(); i++) {
-                if (myPref.getMaritalStatuses().get(i).asText().equals(candidate.getMaritalStatus())) {
-                    accepted = true;
-                    break;
-                }
-            }
-            if (!accepted) return false;
-        }
-        if ("required".equals(targetPref.getMaritalPriority()) && targetPref.getMaritalStatuses() != null && targetPref.getMaritalStatuses().isArray()) {
-            boolean accepted = false;
-            for (int i = 0; i < targetPref.getMaritalStatuses().size(); i++) {
-                if (targetPref.getMaritalStatuses().get(i).asText().equals(myProfile.getMaritalStatus())) {
-                    accepted = true;
-                    break;
-                }
-            }
-            if (!accepted) return false;
-        }
-
-        return true;
+        return matchScoringService.bidirectionalRequiredSatisfied(myPref, myProfile, targetPref, candidate);
     }
 
     private boolean isParticipantEligible(String userId) {
@@ -341,23 +272,19 @@ public class RecommendationEngineService {
         return true;
     }
 
+    /**
+     * 方向性评分：委托 {@link MatchScoringService}（唯一事实源）。
+     *
+     * <p>此前为桩 `return 50.0`，而阈值默认 60 → `mutualScore < 60` 恒成立，
+     * 导致 `GET /recommendations` **恒返回空数组**（2026-09-23 UAT 走查实测）。
+     */
     private double calculateScore(String fromUserId, UserProfile target, UserPreference pref) {
-        // TODO: Phase 07 后续完善评分逻辑
-        return 50.0; // V1 简化：默认中间分
+        return matchScoringService.scoreDirectionally(pref, target);
     }
 
     private List<String> generateReasons(String userId, UserProfile candidate,
                                           UserPreference myPref, UserPreference targetPref) {
-        List<String> reasons = new ArrayList<>();
-        // TODO: 基于真实资料生成推荐理由
-        reasons.add("年龄符合双方择偶要求");
-        reasons.add("都希望长期在丹阳生活");
-        return reasons;
-    }
-
-    private int calculateAge(LocalDate birthDate) {
-        if (birthDate == null) return 0;
-        return Period.between(birthDate, LocalDate.now()).getYears();
+        return matchScoringService.reasons(myPref, candidate);
     }
 
     private Set<String> getPassedUserIds(String userId, Instant since) {
@@ -386,6 +313,8 @@ public class RecommendationEngineService {
         record.setReasons(String.join("；", reasons));
         record.setShownAt(Instant.now());
         record.setRuleVersion(matchConfig.getRuleVersion());
+        // MATCH-001：快照当次判定所用阈值（配合 rule_version 追溯历史推荐依据的规则版本）
+        record.setThresholdSnapshot(matchConfig.getDefaultScoreThreshold());
         recommendationRecordMapper.insert(record);
     }
 

backend/src/main/java/com/danyang/match/platform/match/service/RecommendationService.java

@@ -64,6 +64,8 @@ public class RecommendationService {
         record.setReasons(new java.util.ArrayList<>(reasons).toString());
         record.setShownAt(Instant.now());
         record.setRuleVersion(matchConfig.getRuleVersion());
+        // MATCH-001：快照当次判定所用阈值（配合 rule_version 追溯历史推荐依据的规则版本）
+        record.setThresholdSnapshot(matchConfig.getDefaultScoreThreshold());
         recommendationRecordMapper.insert(record);
         log.debug("推荐记录: userId={}, targetUserId={}, level={}", userId, targetUserId, level);
     }

backend/src/main/java/com/danyang/match/platform/matchmaker/controller/MatchmakerController.java

@@ -16,7 +16,7 @@ import java.util.List;
 import java.util.Map;
 
 /**
- * 红娘服务端点
+ * 红娘服务端点（用户端）
  *
  * 用户端：
  *   POST /api/v1/matchmaker/services              — 提交红娘服务请求
@@ -26,10 +26,15 @@ import java.util.Map;
  *   POST /api/v1/matchmaker/recommendations/{id}/accept  — 用户主动接受（Like target）
  *   POST /api/v1/matchmaker/recommendations/{id}/pass
  *
- * 操作人端（Matchmaker/Operator role）：
- *   PUT  /api/v1/matchmaker/services/{id}/assign
- *   POST /api/v1/matchmaker/services/{id}/recommendation  — 为用户推荐对象
- *   POST /api/v1/matchmaker/services/{id}/referral        — 为用户转介服务
+ * 操作人端（Matchmaker/Operator）在 {@link MatchmakerOperatorController}，基路径为
+ * <b>{@code /api/v1/operator/matchmaker}</b>（如 {@code POST /services/{id}/assign}、
+ * {@code POST /services/{id}/recommend}、{@code POST /services/{id}/followup}、
+ * {@code POST /services/{id}/complete}）。
+ *
+ * <p><b>2026-09-23 修正</b>：本注释此前把上述 operator 端点写成
+ * {@code /matchmaker/services/{id}/assign|recommendation|referral}，但本类从未注册过这些路由
+ * （{@code /referral} 亦不复存在，转介能力由独立控制器提供）——文档与实现不符会误导调用方。
+ * 路由已由 {@code MatchmakerRouteContractTest} 之类的机械守卫锁定，此处只如实描述。
  */
 @RestController
 @RequestMapping("/matchmaker")

backend/src/main/java/com/danyang/match/platform/matchmaker/mapper/MatchmakerServiceMapper.java

@@ -51,4 +51,14 @@ public interface MatchmakerServiceMapper extends BaseMapper<MatchmakerServiceRec
             "AND deleted_at IS NULL ORDER BY created_at DESC LIMIT 1")
     Optional<MatchmakerServiceRecord> findActiveByOperatorAndUser(@Param("operatorId") String operatorId,
                                                                   @Param("userId") String userId);
+
+    /**
+     * 注销前检查（P16 收尾 2e）：该用户仍处于非终态的红娘服务数。
+     * 状态口径与 {@link #findActiveByOperatorAndUser} 一致（submitted/assigned/in_service/waiting_user）。
+     * ⚠️ 勿用 {@code Constants.MATCHMAKER_STATUS_PENDING} / {@code IN_PROGRESS} ——
+     * 这两个常量不在生产 chk_matchmaker_status 白名单（V009），该表永不出现这两个值。
+     */
+    @Select("SELECT COUNT(*) FROM matchmaker_services WHERE user_id = #{userId} " +
+            "AND status IN ('submitted','assigned','in_service','waiting_user') AND deleted_at IS NULL")
+    long countActiveByUserId(@Param("userId") String userId);
 }

backend/src/main/java/com/danyang/match/platform/matchmaker/service/MatchmakerServiceService.java

@@ -24,6 +24,8 @@ import java.time.Instant;
 import java.time.ZoneId;
 import java.util.*;
 import java.util.stream.Collectors;
+import com.danyang.match.platform.shared.enums.ApiResponseCode;
+import com.danyang.match.platform.shared.exception.GlobalExceptionHandler.BusinessException;
 
 @Service
 @RequiredArgsConstructor
@@ -85,9 +87,9 @@ public class MatchmakerServiceService {
     @Transactional
     public MatchmakerServiceRecord assignService(String serviceId, String operatorId, String organizationId) {
         MatchmakerServiceRecord service = serviceMapper.selectById(serviceId);
-        if (service == null) throw new RuntimeException("服务不存在");
+        if (service == null) throw new BusinessException(ApiResponseCode.NOT_FOUND, "服务不存在");
         if (!Constants.MATCHMAKER_STATUS_SUBMITTED.equals(service.getStatus())) {
-            throw new RuntimeException("当前状态不允许分配");
+            throw new BusinessException(ApiResponseCode.CONFLICT, "当前状态不允许分配");
         }
 
         service.setAssignedOperatorId(operatorId);
@@ -107,9 +109,9 @@ public class MatchmakerServiceService {
     @Transactional
     public MatchmakerServiceRecord claimService(String operatorId, String serviceId) {
         MatchmakerServiceRecord service = serviceMapper.selectById(serviceId);
-        if (service == null) throw new RuntimeException("服务不存在");
+        if (service == null) throw new BusinessException(ApiResponseCode.NOT_FOUND, "服务不存在");
         if (!Constants.MATCHMAKER_STATUS_ASSIGNED.equals(service.getStatus())) {
-            throw new RuntimeException("当前状态不允许接单");
+            throw new BusinessException(ApiResponseCode.CONFLICT, "当前状态不允许接单");
         }
 
         service.setStatus(Constants.MATCHMAKER_STATUS_IN_SERVICE);
@@ -141,7 +143,7 @@ public class MatchmakerServiceService {
     public Map<String, Object> recommendPartner(String serviceId, String operatorId,
                                                  String targetUserId, String reason) {
         MatchmakerServiceRecord service = serviceMapper.selectById(serviceId);
-        if (service == null) throw new RuntimeException("服务不存在");
+        if (service == null) throw new BusinessException(ApiResponseCode.NOT_FOUND, "服务不存在");
 
         // Phase 13 D3：归属校验 —— 只有该服务的负责人才能推荐
         if (!operatorId.equals(service.getAssignedOperatorId())) {
@@ -206,10 +208,10 @@ public class MatchmakerServiceService {
     @Transactional
     public MatchmakerServiceRecord completeService(String serviceId) {
         MatchmakerServiceRecord service = serviceMapper.selectById(serviceId);
-        if (service == null) throw new RuntimeException("服务不存在");
+        if (service == null) throw new BusinessException(ApiResponseCode.NOT_FOUND, "服务不存在");
         if (!Constants.MATCHMAKER_STATUS_IN_SERVICE.equals(service.getStatus()) &&
                 !Constants.MATCHMAKER_STATUS_WAITING_USER.equals(service.getStatus())) {
-            throw new RuntimeException("当前状态不能完成");
+            throw new BusinessException(ApiResponseCode.CONFLICT, "当前状态不能完成");
         }
 
         service.setStatus(Constants.MATCHMAKER_STATUS_COMPLETED);
@@ -227,7 +229,7 @@ public class MatchmakerServiceService {
     @Transactional
     public MatchmakerServiceRecord cancelService(String serviceId) {
         MatchmakerServiceRecord service = serviceMapper.selectById(serviceId);
-        if (service == null) throw new RuntimeException("服务不存在");
+        if (service == null) throw new BusinessException(ApiResponseCode.NOT_FOUND, "服务不存在");
         service.setStatus(Constants.MATCHMAKER_STATUS_CANCELLED);
         serviceMapper.updateById(service);
         log.info("红娘服务取消: serviceId={}", serviceId);

backend/src/main/java/com/danyang/match/platform/me/controller/MeController.java

@@ -232,6 +232,25 @@ public class MeController {
         return ApiResponse.ok(photoService.getUploadToken(principal.id(), photoType));
     }
 
+    /**
+     * 确认直传照片落库（REST §29 补）。
+     * 客户端先 {@code POST /me/photos/upload-token} 拿预签名 URL 直传对象存储，
+     * 上传成功后再调本端点把 fileKey 落成 user_photos 记录；否则照片不展示、签名访问也过不了归属校验。
+     * POST /api/v1/me/photos/confirm
+     */
+    @PostMapping("/photos/confirm")
+    public ApiResponse<Map<String, Object>> confirmPhoto(
+            @AuthenticationPrincipal UserPrincipal principal,
+            @RequestBody Map<String, String> body) {
+        String fileKey = body.get("fileKey");
+        String photoType = body.getOrDefault("photoType", "lifestyle");
+        UserPhoto photo = photoService.confirmDirectUpload(principal.id(), fileKey, photoType);
+        Map<String, Object> result = new LinkedHashMap<>();
+        result.put("photoId", photo.getId());
+        result.put("photoType", photo.getPhotoType());
+        return ApiResponse.ok(result);
+    }
+
     /**
      * 删除本人照片（REST §32）。
      * DELETE /api/v1/me/photos/{photoId}

backend/src/main/java/com/danyang/match/platform/operator/service/OperatorManagementService.java

@@ -14,6 +14,8 @@ import org.springframework.transaction.annotation.Transactional;
 
 import java.time.Instant;
 import java.util.*;
+import com.danyang.match.platform.shared.enums.ApiResponseCode;
+import com.danyang.match.platform.shared.exception.GlobalExceptionHandler.BusinessException;
 
 @Service
 @RequiredArgsConstructor
@@ -73,7 +75,7 @@ public class OperatorManagementService {
     @Transactional
     public void disableOperator(String operatorId, String byOperatorId) {
         Operator operator = operatorMapper.selectById(operatorId);
-        if (operator == null) throw new RuntimeException("Operator不存在");
+        if (operator == null) throw new BusinessException(ApiResponseCode.NOT_FOUND, "Operator不存在");
         operator.setStatus(Constants.ACCOUNT_STATUS_SUSPENDED);
         operator.setUpdatedAt(Instant.now());
         operatorMapper.updateById(operator);
@@ -82,7 +84,7 @@ public class OperatorManagementService {
     @Transactional
     public void enableOperator(String operatorId, String byOperatorId) {
         Operator operator = operatorMapper.selectById(operatorId);
-        if (operator == null) throw new RuntimeException("Operator不存在");
+        if (operator == null) throw new BusinessException(ApiResponseCode.NOT_FOUND, "Operator不存在");
         operator.setStatus(Constants.ACCOUNT_STATUS_NORMAL);
         operator.setUpdatedAt(Instant.now());
         operatorMapper.updateById(operator);
@@ -91,7 +93,7 @@ public class OperatorManagementService {
     @Transactional
     public void resetPassword(String operatorId, String newPassword, String byOperatorId) {
         Operator operator = operatorMapper.selectById(operatorId);
-        if (operator == null) throw new RuntimeException("Operator不存在");
+        if (operator == null) throw new BusinessException(ApiResponseCode.NOT_FOUND, "Operator不存在");
         operator.setPasswordHash(passwordEncoder.encode(newPassword));
         operator.setUpdatedAt(Instant.now());
         operatorMapper.updateById(operator);

backend/src/main/java/com/danyang/match/platform/operator/service/OperatorService.java

@@ -18,6 +18,9 @@ import org.springframework.transaction.annotation.Transactional;
 import java.time.Instant;
 import java.util.List;
 import java.util.Map;
+import com.danyang.match.platform.shared.enums.ApiResponseCode;
+import com.danyang.match.platform.shared.exception.GlobalExceptionHandler.BusinessException;
+import com.danyang.match.platform.shared.exception.GlobalExceptionHandler;
 
 /**
  * Operator 管理服务
@@ -47,7 +50,7 @@ public class OperatorService {
 
         // 校验唯一性
         operatorMapper.findByUsername(username).ifPresent(op -> {
-            throw new RuntimeException("用户名已存在: " + username);
+            throw new BusinessException(ApiResponseCode.CONFLICT, "用户名已存在: " + username);
         });
 
         Operator operator = new Operator();
@@ -83,7 +86,7 @@ public class OperatorService {
     @Transactional
     public void disableOperator(String operatorId) {
         Operator operator = operatorMapper.findById(operatorId)
-                .orElseThrow(() -> new RuntimeException("Operator 不存在"));
+                .orElseThrow(() -> new GlobalExceptionHandler.BusinessException(ApiResponseCode.NOT_FOUND, "Operator 不存在"));
 
         operator.setStatus(Constants.ACCOUNT_STATUS_SUSPENDED);
         operator.setUpdatedAt(Instant.now());
@@ -99,7 +102,7 @@ public class OperatorService {
     @Transactional
     public void enableOperator(String operatorId) {
         Operator operator = operatorMapper.findById(operatorId)
-                .orElseThrow(() -> new RuntimeException("Operator 不存在"));
+                .orElseThrow(() -> new GlobalExceptionHandler.BusinessException(ApiResponseCode.NOT_FOUND, "Operator 不存在"));
 
         operator.setStatus(Constants.ACCOUNT_STATUS_NORMAL);
         operator.setUpdatedAt(Instant.now());

backend/src/main/java/com/danyang/match/platform/organization/controller/OrganizationController.java

@@ -35,7 +35,7 @@ public class OrganizationController {
     @PostMapping
     public ApiResponse<?> create(@AuthenticationPrincipal OperatorPrincipal principal,
                                   @RequestBody Map<String, Object> params) {
-        return ApiResponse.ok(organizationService.createOrganization(params));
+        return ApiResponse.ok(organizationService.createOrganization(params, principal.id()));
     }
 
     @PutMapping("/{id}")

backend/src/main/java/com/danyang/match/platform/organization/service/OrganizationService.java

@@ -6,6 +6,8 @@ import com.danyang.match.platform.audit.mapper.AuditLogMapper;
 import com.danyang.match.platform.organization.entity.Organization;
 import com.danyang.match.platform.organization.mapper.OrganizationMapper;
 import com.danyang.match.platform.shared.constant.Constants;
+import com.danyang.match.platform.shared.enums.ApiResponseCode;
+import com.danyang.match.platform.shared.exception.GlobalExceptionHandler.BusinessException;
 import lombok.RequiredArgsConstructor;
 import org.springframework.stereotype.Service;
 import org.springframework.transaction.annotation.Transactional;
@@ -13,14 +15,56 @@ import org.springframework.transaction.annotation.Transactional;
 import java.time.Instant;
 import java.util.List;
 import java.util.Map;
+import java.util.Set;
 
 /**
  * 机构管理服务
+ *
+ * <h3>2026-09-21 修复：三处写操作必然 500（High）</h3>
+ * 原实现把机构状态写成 {@code Constants.ACCOUNT_STATUS_NORMAL}("normal") /
+ * {@code ACCOUNT_STATUS_SUSPENDED}("suspended") —— 那是 {@code users.account_status} 的取值，
+ * 而 {@code organizations.status} 的 CHECK 白名单（V001 {@code chk_org_status}）只有
+ * <b>('active', 'inactive')</b>，于是**创建 / 停用 / 启用三个写操作全部违约**，
+ * 生产上必然 {@code PSQLException: violates check constraint "chk_org_status"} → HTTP 500。
+ *
+ * <p>二阶影响：{@code activities.organizer_org_id} 为 NOT NULL —— 无机构即无法新建活动，
+ * 运营端「建机构 → 建活动 → 报名 → 互选」整条链路的第一环是断的。
+ *
+ * <p>为何长期未被发现：① 全仓无任何测试引用本类；② E2E 的
+ * {@code tests/e2e/sql/seed_e2e_activity.sql} 直接写库插入机构，绕过本 Service，
+ * 测试全绿掩盖了 API 路径的失败；③ 测试库 schema-h2.sql 的 {@code organizations}
+ * 表当时没有复刻这两条 CHECK（非法值在测试期畅通无阻）。
+ * 三者已在本轮一并处置，并由 {@code OrganizationConstraintParityTest} 长期守卫。
  */
 @Service
 @RequiredArgsConstructor
 public class OrganizationService {
 
+    /**
+     * 机构类型白名单 —— 与生产迁移 V001 的 {@code chk_org_type} 逐值对应。
+     *
+     * <p>⚠️ 不得在此处单方面增删：{@code OrganizationConstraintParityTest} 会从迁移 DDL
+     * 解析白名单与本集合比对，任何一侧漂移立即变红（写入非法值原本要打到 PostgreSQL
+     * 才以 500 暴露，现在由本集合前置拦截为 400）。
+     */
+    public static final Set<String> ALLOWED_TYPES = Set.of(
+            "women_federation",
+            "trade_union",
+            "charity_center",
+            "volunteer_team",
+            "civil_affairs_partner",
+            "other");
+
+    /**
+     * 机构状态白名单 —— 与生产迁移 V001 的 {@code chk_org_status} 逐值对应。
+     *
+     * <p>注意与 {@code users.account_status} 的区别：后者是
+     * normal / reviewing_risk / limited / suspended / banned / closed。混用即本轮修复的缺陷。
+     */
+    public static final Set<String> ALLOWED_STATUSES = Set.of(
+            Constants.ORG_STATUS_ACTIVE,
+            Constants.ORG_STATUS_INACTIVE);
+
     private final OrganizationMapper organizationMapper;
     private final AuditLogMapper auditLogMapper;
 
@@ -34,33 +78,64 @@ public class OrganizationService {
         return organizationMapper.selectById(id);
     }
 
+    /**
+     * 创建机构。
+     *
+     * <p>⚠️ {@code operatorId} 必须由 Controller 从认证主体透传：本方法会写
+     * {@code CREATE_ORGANIZATION} 审计行，缺失操作人即审计不可归属。
+     * 2026-09-21 活栈验收实测发现该参数原先未透传 —— 7 条 CREATE 审计的
+     * {@code operator_id} 全为 NULL，而停用 / 启用却正确记录，属「同一族缺陷的创建分支」。
+     */
     @Transactional
-    public Organization createOrganization(Map<String, Object> params) {
+    public Organization createOrganization(Map<String, Object> params, String operatorId) {
+        String name = asNonBlankString(params.get("name"));
+        if (name == null) {
+            throw new BusinessException(ApiResponseCode.VALIDATION_ERROR, "机构名称不能为空");
+        }
+        String type = asNonBlankString(params.get("type"));
+        requireAllowedType(type);
+
         Organization org = new Organization();
-        org.setName((String) params.get("name"));
-        org.setType((String) params.get("type"));
-        org.setContactName((String) params.get("contactName"));
-        org.setStatus(Constants.ACCOUNT_STATUS_NORMAL);
+        org.setName(name);
+        org.setType(type);
+        org.setContactName(asNonBlankString(params.get("contactName")));
+        org.setStatus(Constants.ORG_STATUS_ACTIVE);
         organizationMapper.insert(org);
-        saveAuditLog(null, "CREATE_ORGANIZATION", "organization", org.getId(), null, null);
+        saveAuditLog(operatorId, "CREATE_ORGANIZATION", "organization", org.getId(), null, null);
         return org;
     }
 
     @Transactional
     public void updateOrganization(String id, Map<String, Object> params) {
         Organization org = organizationMapper.selectById(id);
-        if (org == null) throw new RuntimeException("机构不存在");
-        if (params.get("name") != null) org.setName((String) params.get("name"));
-        if (params.get("type") != null) org.setType((String) params.get("type"));
-        if (params.get("contactName") != null) org.setContactName((String) params.get("contactName"));
+        if (org == null) {
+            throw new BusinessException(ApiResponseCode.NOT_FOUND, "机构不存在");
+        }
+        if (params.get("name") != null) {
+            String name = asNonBlankString(params.get("name"));
+            if (name == null) {
+                throw new BusinessException(ApiResponseCode.VALIDATION_ERROR, "机构名称不能为空");
+            }
+            org.setName(name);
+        }
+        if (params.get("type") != null) {
+            String type = asNonBlankString(params.get("type"));
+            requireAllowedType(type);
+            org.setType(type);
+        }
+        if (params.get("contactName") != null) {
+            org.setContactName(asNonBlankString(params.get("contactName")));
+        }
         organizationMapper.updateById(org);
     }
 
     @Transactional
     public void disableOrganization(String id, String operatorId) {
         Organization org = organizationMapper.selectById(id);
-        if (org == null) throw new RuntimeException("机构不存在");
-        org.setStatus(Constants.ACCOUNT_STATUS_SUSPENDED);
+        if (org == null) {
+            throw new BusinessException(ApiResponseCode.NOT_FOUND, "机构不存在");
+        }
+        org.setStatus(Constants.ORG_STATUS_INACTIVE);
         org.setUpdatedAt(Instant.now());
         organizationMapper.updateById(org);
         saveAuditLog(operatorId, "DISABLE_ORGANIZATION", "organization", id, null, null);
@@ -69,13 +144,32 @@ public class OrganizationService {
     @Transactional
     public void enableOrganization(String id, String operatorId) {
         Organization org = organizationMapper.selectById(id);
-        if (org == null) throw new RuntimeException("机构不存在");
-        org.setStatus(Constants.ACCOUNT_STATUS_NORMAL);
+        if (org == null) {
+            throw new BusinessException(ApiResponseCode.NOT_FOUND, "机构不存在");
+        }
+        org.setStatus(Constants.ORG_STATUS_ACTIVE);
         org.setUpdatedAt(Instant.now());
         organizationMapper.updateById(org);
         saveAuditLog(operatorId, "ENABLE_ORGANIZATION", "organization", id, null, null);
     }
 
+    /** 去空白后取非空字符串；非字符串 / 空白串一律视为「未提供」。 */
+    private static String asNonBlankString(Object value) {
+        if (!(value instanceof String raw)) {
+            return null;
+        }
+        String trimmed = raw.trim();
+        return trimmed.isEmpty() ? null : trimmed;
+    }
+
+    /** 类型必须落在生产 CHECK 白名单内，否则前置返回 400，而不是打到 PostgreSQL 才 500。 */
+    private static void requireAllowedType(String type) {
+        if (type == null || !ALLOWED_TYPES.contains(type)) {
+            throw new BusinessException(ApiResponseCode.VALIDATION_ERROR,
+                    "机构类型不合法：" + type + "，允许值 " + ALLOWED_TYPES);
+        }
+    }
+
     private void saveAuditLog(String operatorId, String action, String resourceType,
                                String resourceId, String beforeData, String afterData) {
         AuditLog auditLog = new AuditLog();

backend/src/main/java/com/danyang/match/platform/photo/mapper/UserPhotoMapper.java

@@ -3,6 +3,7 @@ package com.danyang.match.platform.photo.mapper;
 import com.baomidou.mybatisplus.core.mapper.BaseMapper;
 import com.danyang.match.platform.photo.entity.UserPhoto;
 import org.apache.ibatis.annotations.Mapper;
+import org.apache.ibatis.annotations.Param;
 import org.apache.ibatis.annotations.Select;
 
 import java.util.List;
@@ -15,4 +16,16 @@ public interface UserPhotoMapper extends BaseMapper<UserPhoto> {
 
     @Select("SELECT * FROM user_photos WHERE user_id = #{userId} AND photo_type = 'avatar' AND deleted_at IS NULL LIMIT 1")
     UserPhoto findAvatar(String userId);
+
+    /**
+     * 统计该用户当前 active（未软删）的个人照片数（头像 + 生活照）。
+     *
+     * <p>本地资格佐证（local_eligibility）各有独立上限（localEvidenceMaxFiles），不计入。
+     * 并发安全由调用方保证：先 {@code UserMapper.lockUserRow(userId)}（FOR UPDATE 锁用户行，
+     * 串行化同一用户并发写、且 0 张照片时也有锁可加），<b>锁后再执行本 COUNT</b>（新语句、
+     * READ COMMITTED 下读到最新已提交数据）。勿在无锁事务里单独使用本计数做上限判定。
+     */
+    @Select("SELECT COUNT(*) FROM user_photos WHERE user_id = #{userId} AND deleted_at IS NULL "
+            + "AND photo_type IN ('avatar','lifestyle')")
+    long countActiveProfilePhotos(@Param("userId") String userId);
 }

backend/src/main/java/com/danyang/match/platform/photo/service/PhotoService.java

@@ -9,9 +9,11 @@ import com.danyang.match.platform.shared.constant.Constants;
 import com.danyang.match.platform.shared.config.FeatureFlagConfig;
 import com.danyang.match.platform.shared.enums.ApiResponseCode;
 import com.danyang.match.platform.shared.exception.GlobalExceptionHandler;
-import lombok.RequiredArgsConstructor;
+import com.danyang.match.platform.shared.policy.ProfilePolicy;
 import org.slf4j.Logger;
 import org.slf4j.LoggerFactory;
+import org.springframework.beans.factory.annotation.Autowired;
+import org.springframework.beans.factory.annotation.Qualifier;
 import org.springframework.beans.factory.annotation.Value;
 import org.springframework.stereotype.Service;
 import org.springframework.transaction.annotation.Transactional;
@@ -27,17 +29,39 @@ import java.util.List;
 import java.util.Map;
 import java.util.UUID;
 import java.util.concurrent.TimeUnit;
+import com.danyang.match.platform.shared.exception.GlobalExceptionHandler.BusinessException;
+import com.danyang.match.platform.shared.exception.ServerErrorException;
 
 @Service
-@RequiredArgsConstructor
 public class PhotoService {
 
     private static final Logger log = LoggerFactory.getLogger(PhotoService.class);
     private static final int SIGNED_URL_EXPIRE_HOURS = 24;
 
     private final UserPhotoMapper photoMapper;
+    /** 后端服务内连存储用的内网客户端（putObject 等服务端上传走它）。 */
     private final AmazonS3 amazonS3;
+    /** 给客户端签发 presigned URL 用的客户端，指向对外可达的 S3 网关（见 S3Config.amazonS3Signer）。 */
+    private final AmazonS3 amazonS3Signer;
     private final FeatureFlagConfig featureFlags;
+    private final ProfilePolicy profilePolicy;
+    private final com.danyang.match.platform.user.mapper.UserMapper userMapper;
+
+    @Autowired
+    public PhotoService(
+            UserPhotoMapper photoMapper,
+            @Qualifier("amazonS3") AmazonS3 amazonS3,
+            FeatureFlagConfig featureFlags,
+            ProfilePolicy profilePolicy,
+            com.danyang.match.platform.user.mapper.UserMapper userMapper,
+            @Qualifier("amazonS3Signer") AmazonS3 amazonS3Signer) {
+        this.photoMapper = photoMapper;
+        this.amazonS3 = amazonS3;
+        this.amazonS3Signer = amazonS3Signer;
+        this.featureFlags = featureFlags;
+        this.profilePolicy = profilePolicy;
+        this.userMapper = userMapper;
+    }
 
     @Value("${object-storage.bucket-private}")
     private String privateBucket;
@@ -56,7 +80,7 @@ public class PhotoService {
         GeneratePresignedUrlRequest putRequest = new GeneratePresignedUrlRequest(privateBucket, fileKey)
                 .withMethod(com.amazonaws.HttpMethod.PUT)
                 .withExpiration(expiration);
-        String uploadUrl = amazonS3.generatePresignedUrl(putRequest).toString();
+        String uploadUrl = amazonS3Signer.generatePresignedUrl(putRequest).toString();
 
         Map<String, Object> token = new HashMap<>();
         token.put("fileKey", fileKey);
@@ -74,14 +98,14 @@ public class PhotoService {
         List<UserPhoto> userPhotos = photoMapper.findByUserIdOrderBySort(userId);
         boolean owned = userPhotos.stream().anyMatch(p -> fileKey.equals(p.getFileKey()));
         if (!owned) {
-            throw new RuntimeException("无权访问该图片");
+            throw new BusinessException(ApiResponseCode.FORBIDDEN, "无权访问该图片");
         }
 
         Date expiration = new Date(System.currentTimeMillis() + TimeUnit.HOURS.toMillis(SIGNED_URL_EXPIRE_HOURS));
         GeneratePresignedUrlRequest getRequest = new GeneratePresignedUrlRequest(privateBucket, fileKey)
                 .withMethod(com.amazonaws.HttpMethod.GET)
                 .withExpiration(expiration);
-        String url = amazonS3.generatePresignedUrl(getRequest).toString();
+        String url = amazonS3Signer.generatePresignedUrl(getRequest).toString();
 
         Map<String, Object> result = new HashMap<>();
         result.put("url", url);
@@ -95,7 +119,46 @@ public class PhotoService {
         GeneratePresignedUrlRequest request = new GeneratePresignedUrlRequest(privateBucket, fileKey)
                 .withMethod(com.amazonaws.HttpMethod.GET)
                 .withExpiration(expiration);
-        return Map.of("url", amazonS3.generatePresignedUrl(request).toString(), "expiresIn", 600);
+        return Map.of("url", amazonS3Signer.generatePresignedUrl(request).toString(), "expiresIn", 600);
+    }
+
+    /**
+     * 个人照片数量上限校验（服务器端强制，前端提示不可绕过）。
+     *
+     * <p>须在 {@code @Transactional} 事务内调用（调用方 {@link #savePhoto} /
+     * {@link #uploadAndSave} 均已标注）。并发安全走「用户行锁 + 锁后计数」两步（纠偏方案 §四
+     * 的 {@code userRepository.lockById + countActivePhotos} 模式）：
+     * <ol>
+     *   <li>{@code UserMapper.lockUserRow}（{@code SELECT ... FOR UPDATE}）锁住恒存在的用户行 ——
+     *       串行化同一用户的并发写，且 **0 张照片时也有锁可加**（「首张并发」缺口）；</li>
+     *   <li>锁<b>之后</b>再用新语句 {@code COUNT} active 照片（READ COMMITTED 下读到最新已提交数据）。
+     *       若锁照片行再计数，H2 MVCC 快照可能漏读并发提交的新行（PHOTO-004 实测 3/3 全成功、
+     *       突破上限的根因），故改为锁用户行。</li>
+     * </ol>
+     *
+     * <p>规则（PROFILE-001 / OQ-PROFILE-001）：个人照片（头像 + 生活照）合计须 ≤
+     * {@code profile.photo.maxCount}（当前技术默认 6，未获产品正式确认，见 config-register）。
+     * <ul>
+     *   <li>lifestyle 新增 +1：当前 active 数 ≥ 上限即拒（PHOTO-002）；</li>
+     *   <li>avatar 为槽位替换（旧头像软删后插新，总量不变）：仅在已超限时拒；</li>
+     *   <li>local_eligibility 等佐证类型各有独立上限（localEvidenceMaxFiles），不在此计。</li>
+     * </ul>
+     */
+    public void ensureWithinPhotoLimit(String userId, String photoType) {
+        if (!"avatar".equals(photoType) && !"lifestyle".equals(photoType)) {
+            return; // 非个人照片类型（佐证等）走各自上限，不在个人照片上限约束内
+        }
+        // 1) 锁用户行：串行化同用户并发写；用户不存在时返回 null，后续 insert 由 FK 兜底拒绝
+        userMapper.lockUserRow(userId);
+        // 2) 锁后计数（新语句，READ COMMITTED 读最新已提交数据）
+        long active = photoMapper.countActiveProfilePhotos(userId);
+        int maxCount = profilePolicy.getMaxPhotoCount();
+        boolean willExceed = "lifestyle".equals(photoType) ? active >= maxCount : active > maxCount;
+        if (willExceed) {
+            throw new GlobalExceptionHandler.BusinessException(
+                    com.danyang.match.platform.shared.enums.ApiResponseCode.PHOTO_LIMIT_EXCEEDED,
+                    "照片数量已达到当前允许上限");
+        }
     }
 
     /**
@@ -103,6 +166,9 @@ public class PhotoService {
      */
     @Transactional
     public UserPhoto savePhoto(String userId, String fileKey, String photoType, int sortOrder) {
+        // 数量上限校验：所有 insert 路径统一在此强制（并发安全，见 ensureWithinPhotoLimit）
+        ensureWithinPhotoLimit(userId, photoType);
+
         // 如果是头像，先清除旧头像
         if ("avatar".equals(photoType)) {
             photoMapper.update(null, new com.baomidou.mybatisplus.core.conditions.update.LambdaUpdateWrapper<UserPhoto>()
@@ -121,6 +187,31 @@ public class PhotoService {
         return photo;
     }
 
+    /**
+     * 确认直传照片落库（客户端直传对象存储成功后调用）。
+     *
+     * <p>直传路径（{@code /me/photos/upload-token} 签发预签名 PUT URL）对象先进入私有桶，
+     * 但此前没有任何端点把 {@code fileKey} 写成 {@code user_photos} 记录，导致「传了白传」：
+     * 列表不展示、签名访问的归属校验也过不了。本方法补齐落库，并设两道护栏：
+     * <ol>
+     *   <li>归属校验：{@code fileKey} 必须以 {@code photos/{userId}/} 开头（由本用户直传凭证生成），
+     *       禁止客户端传入任意 fileKey 把别人的对象据为己有或写入非法 key；</li>
+     *   <li>存在性校验：对象必须已存在于私有桶（客户端确实完成了 PUT），否则拒绝落库，
+     *       避免只拿了凭证却没上传成功就生成孤儿记录。</li>
+     * </ol>
+     */
+    @Transactional
+    public UserPhoto confirmDirectUpload(String userId, String fileKey, String photoType) {
+        if (fileKey == null || !fileKey.startsWith("photos/" + userId + "/")) {
+            throw new BusinessException(ApiResponseCode.BAD_REQUEST, "非法的文件标识");
+        }
+        if (!amazonS3.doesObjectExist(privateBucket, fileKey)) {
+            throw new BusinessException(ApiResponseCode.BAD_REQUEST, "文件尚未上传完成");
+        }
+        int sortOrder = photoMapper.countActiveProfilePhotos(userId) + 1;
+        return savePhoto(userId, fileKey, photoType, sortOrder);
+    }
+
     /**
      * 处理后端直传：接收文件 → 上传到 MinIO → 保存记录
      */
@@ -134,13 +225,13 @@ public class PhotoService {
         boolean isLocalEvidence = "local_eligibility".equals(photoType);
         if (isLocalEvidence) {
             if (!isAllowedLocalEvidenceMimeType(contentType)) {
-                throw new RuntimeException("不支持的佐证文件格式: " + contentType);
+                throw new BusinessException(ApiResponseCode.BAD_REQUEST, "不支持的佐证文件格式: " + contentType);
             }
         } else if (!isAllowedMimeType(contentType)) {
-            throw new RuntimeException("不支持的图片格式: " + contentType);
+            throw new BusinessException(ApiResponseCode.BAD_REQUEST, "不支持的图片格式: " + contentType);
         }
         if (!validateSize(file, photoType)) {
-            throw new RuntimeException("文件大小超过限制");
+            throw new BusinessException(ApiResponseCode.BAD_REQUEST, "文件大小超过限制");
         }
 
         // 2. 魔数校验（仅图片；PDF 佐证跳过——Content-Type 已由白名单约束，
@@ -150,13 +241,19 @@ public class PhotoService {
             try (InputStream headerStream = file.getInputStream()) {
                 header = headerStream.readNBytes(12);
             } catch (IOException e) {
-                throw new RuntimeException("读取文件头失败", e);
+                throw new ServerErrorException("读取文件头失败", e);
             }
             if (header.length < 3 || !validateMagicNumber(header)) {
-                throw new RuntimeException("无效的图片文件头");
+                throw new BusinessException(ApiResponseCode.BAD_REQUEST, "无效的图片文件头");
             }
         }
 
+        // 2.5 数量上限校验：必须放在对象存储上传之前 —— 超限若先传 S3 再在入库时拒绝，
+        //     会留下无人引用的孤儿对象。本地资格佐证不在个人照片上限内（isLocalEvidence 跳过）。
+        if (!isLocalEvidence) {
+            ensureWithinPhotoLimit(userId, photoType);
+        }
+
         // 3. 生成 key 并上传（使用全新输入流，与校验流隔离，互不干扰）
         String fileKey = generateFileKey(userId, photoType, contentType);
         try {
@@ -166,7 +263,7 @@ public class PhotoService {
                         setContentLength(file.getSize());
                     }});
         } catch (IOException e) {
-            throw new RuntimeException("上传文件失败", e);
+            throw new ServerErrorException("上传文件失败", e);
         }
 
         // 4. 保存记录

backend/src/main/java/com/danyang/match/platform/profile/entity/UserPrivacySettings.java

@@ -17,4 +17,9 @@ public class UserPrivacySettings extends BaseEntity {
     private Boolean showLifestylePhotos;
     private Boolean receiveActivityRecommendations;
     private Boolean acceptMatchmakerRecommendations;
+
+    // V047：小程序 privacy-settings 页契约字段（产品裁定以小程序为准）。
+    // 默认值与小程序 data 初值一致 —— showLastOnline 默认 false（不公开在线状态）。
+    private Boolean allowActivityInvitation;
+    private Boolean showLastOnline;
 }

backend/src/main/java/com/danyang/match/platform/profile/mapper/UserPreferenceMapper.java

@@ -3,11 +3,22 @@ package com.danyang.match.platform.profile.mapper;
 import com.baomidou.mybatisplus.core.mapper.BaseMapper;
 import com.danyang.match.platform.profile.entity.UserPreference;
 import org.apache.ibatis.annotations.Mapper;
+import org.apache.ibatis.annotations.Select;
 
 import java.util.Optional;
 
 @Mapper
 public interface UserPreferenceMapper extends BaseMapper<UserPreference> {
 
+    /**
+     * 按用户读取择偶偏好（推荐引擎打分与匹配资格判定的输入）。
+     *
+     * <p>补于 2026-09-19（Phase 23）：本方法此前<b>只有声明、没有任何 SQL</b>，
+     * 调用必抛 {@code Invalid bound statement}。它在推荐链路上有 6 处调用点，
+     * 但因候选池为空而从未被执行到。
+     *
+     * <p>{@code deleted_at IS NULL}：V037 已为 user_preferences 补上软删列。
+     */
+    @Select("SELECT * FROM user_preferences WHERE user_id = #{userId} AND deleted_at IS NULL LIMIT 1")
     Optional<UserPreference> findByUserId(String userId);
 }

backend/src/main/java/com/danyang/match/platform/profile/mapper/UserPrivacySettingsMapper.java

@@ -3,11 +3,24 @@ package com.danyang.match.platform.profile.mapper;
 import com.baomidou.mybatisplus.core.mapper.BaseMapper;
 import com.danyang.match.platform.profile.entity.UserPrivacySettings;
 import org.apache.ibatis.annotations.Mapper;
+import org.apache.ibatis.annotations.Select;
 
 import java.util.Optional;
 
 @Mapper
 public interface UserPrivacySettingsMapper extends BaseMapper<UserPrivacySettings> {
 
+    /**
+     * 按用户读取隐私设置。
+     *
+     * <p>补于 2026-09-19（Phase 23）：本方法此前<b>只有声明、没有任何 SQL</b>。
+     * 本项目全仓无 mapper XML、无自定义 {@code ISqlInjector}，自定义方法只能靠注解提供 SQL，
+     * 因此调用必抛 {@code Invalid bound statement}。之所以长期未被发现，是因为
+     * 测试环境候选池为空、且测试库<b>根本没有这张表</b>，两条路径都走不到。
+     *
+     * <p>{@code deleted_at IS NULL}：V037 已为 user_privacy_settings 补上软删列，
+     * 不过滤会读到已删记录。
+     */
+    @Select("SELECT * FROM user_privacy_settings WHERE user_id = #{userId} AND deleted_at IS NULL LIMIT 1")
     Optional<UserPrivacySettings> findByUserId(String userId);
 }

backend/src/main/java/com/danyang/match/platform/profile/service/PrivacyService.java

@@ -1,6 +1,6 @@
 package com.danyang.match.platform.profile.service;
 
-import com.baomidou.mybatisplus.core.conditions.query.LambdaQueryWrapper;
+import com.baomidou.mybatisplus.core.conditions.update.LambdaUpdateWrapper;
 import com.danyang.match.platform.profile.mapper.UserPrivacySettingsMapper;
 import com.danyang.match.platform.profile.entity.UserPrivacySettings;
 import lombok.RequiredArgsConstructor;
@@ -17,59 +17,89 @@ public class PrivacyService {
     private final UserPrivacySettingsMapper privacySettingsMapper;
 
     /**
-     * 获取隐私设置
+     * 获取隐私设置。
+     *
+     * <p><b>键集以小程序为准</b>（2026-09-19 产品裁定）：
+     * {@code visibleInRecommendations} / {@code allowActivityInvitation} / {@code showLastOnline}。
+     * 后两列由 V047 补齐（此前后端表与小程序只有 {@code visibleInRecommendations} 一个交集）。
+     *
+     * <p>默认值与小程序 {@code data} 初值<b>严格一致</b>，尤其
+     * {@code showLastOnline} 默认 <b>false</b>（不公开在线状态）—— 写成 true 等于默认公开。
+     *
+     * <p>注意：既有的 6 个列并未废弃 —— {@link com.danyang.match.platform.profile.service.UserProfileService}
+     * 的资料详情 DTO 仍在全量返回它们。此处只是<b>隐私设置读写契约</b>以小程序为准。
      */
     public Map<String, Boolean> getPrivacySettings(String userId) {
         return privacySettingsMapper.findByUserId(userId)
-                .map(s -> {
-                    Map<String, Boolean> map = new HashMap<>();
-                    map.put("visibleInRecommendations", s.getVisibleInRecommendations());
-                    map.put("visibleInSearch", s.getVisibleInSearch());
-                    map.put("showOccupation", s.getShowOccupation());
-                    map.put("showLifestylePhotos", s.getShowLifestylePhotos());
-                    map.put("receiveActivityRecommendations", s.getReceiveActivityRecommendations());
-                    map.put("acceptMatchmakerRecommendations", s.getAcceptMatchmakerRecommendations());
-                    return map;
-                })
-                .orElseGet(() -> {
-                    // 返回默认值
-                    Map<String, Boolean> defaults = new HashMap<>();
-                    defaults.put("visibleInRecommendations", true);
-                    defaults.put("visibleInSearch", true);
-                    defaults.put("showOccupation", true);
-                    defaults.put("showLifestylePhotos", true);
-                    defaults.put("receiveActivityRecommendations", true);
-                    defaults.put("acceptMatchmakerRecommendations", true);
-                    return defaults;
-                });
+                .map(this::toMiniappContract)
+                .orElseGet(this::defaults);
+    }
+
+    private Map<String, Boolean> toMiniappContract(UserPrivacySettings s) {
+        Map<String, Boolean> map = new HashMap<>();
+        map.put("visibleInRecommendations", s.getVisibleInRecommendations());
+        map.put("allowActivityInvitation", s.getAllowActivityInvitation());
+        map.put("showLastOnline", s.getShowLastOnline());
+        return map;
+    }
+
+    private Map<String, Boolean> defaults() {
+        Map<String, Boolean> map = new HashMap<>();
+        map.put("visibleInRecommendations", true);
+        map.put("allowActivityInvitation", true);
+        map.put("showLastOnline", false);
+        return map;
     }
 
     /**
-     * 更新隐私设置
+     * 更新隐私设置（upsert 语义：存在则更新，不存在则插入）。
+     *
+     * <p><b>修复说明</b>：此前无论记录是否已存在都无条件走 {@code insert}，
+     * 而 {@code user_privacy_settings} 的主键自 V002 起就是 {@code user_id}，
+     * 因此同一用户<b>第二次</b>调用必然撞主键冲突 → 500，隐私设置从此再也改不动。
+     *
+     * <p><b>更新条件刻意用 {@code user_id} 而非实体 {@code id}</b>：该表的业务主键是
+     * {@code user_id}；{@code id} 是 V037 为「实体↔表对齐」后补的独立列，
+     * 不作为寻址依据 —— 否则一旦某行 id 缺失（V037 回填前的历史行），更新会静默失效。
+     *
+     * <p><b>已知边界（未擅自处理）</b>：{@code findByUserId} 带 {@code deleted_at IS NULL}，
+     * 若将来引入软删路径，已软删的行会让本方法走插入分支并撞主键。当前生产代码
+     * <b>不存在任何软删隐私设置的路径</b>，故该分支不可达；若将来新增软删，需同步改为
+     * 显式 upsert（如 PG 的 {@code ON CONFLICT (user_id) DO UPDATE}）。
      */
     @Transactional
     public Map<String, Boolean> updatePrivacySettings(String userId, Map<String, Boolean> settings) {
-        UserPrivacySettings privacy = privacySettingsMapper.findByUserId(userId)
-                .orElseGet(() -> {
-                    UserPrivacySettings p = new UserPrivacySettings();
-                    p.setUserId(userId);
-                    p.setVisibleInRecommendations(true);
-                    p.setVisibleInSearch(true);
-                    p.setShowOccupation(true);
-                    p.setShowLifestylePhotos(true);
-                    p.setReceiveActivityRecommendations(true);
-                    p.setAcceptMatchmakerRecommendations(true);
-                    return p;
-                });
+        UserPrivacySettings existing = privacySettingsMapper.findByUserId(userId).orElse(null);
+        UserPrivacySettings privacy;
+
+        if (existing != null) {
+            privacy = existing;
+        } else {
+            privacy = new UserPrivacySettings();
+            privacy.setUserId(userId);
+            // 既有 6 列：仍被 UserProfileService 资料详情 DTO 读取，保持默认 true
+            privacy.setVisibleInRecommendations(true);
+            privacy.setVisibleInSearch(true);
+            privacy.setShowOccupation(true);
+            privacy.setShowLifestylePhotos(true);
+            privacy.setReceiveActivityRecommendations(true);
+            privacy.setAcceptMatchmakerRecommendations(true);
+            // V047 新增：小程序契约列（showLastOnline 默认 false）
+            privacy.setAllowActivityInvitation(true);
+            privacy.setShowLastOnline(false);
+        }
 
         if (settings.containsKey("visibleInRecommendations")) privacy.setVisibleInRecommendations(settings.get("visibleInRecommendations"));
-        if (settings.containsKey("visibleInSearch")) privacy.setVisibleInSearch(settings.get("visibleInSearch"));
-        if (settings.containsKey("showOccupation")) privacy.setShowOccupation(settings.get("showOccupation"));
-        if (settings.containsKey("showLifestylePhotos")) privacy.setShowLifestylePhotos(settings.get("showLifestylePhotos"));
-        if (settings.containsKey("receiveActivityRecommendations")) privacy.setReceiveActivityRecommendations(settings.get("receiveActivityRecommendations"));
-        if (settings.containsKey("acceptMatchmakerRecommendations")) privacy.setAcceptMatchmakerRecommendations(settings.get("acceptMatchmakerRecommendations"));
+        if (settings.containsKey("allowActivityInvitation")) privacy.setAllowActivityInvitation(settings.get("allowActivityInvitation"));
+        if (settings.containsKey("showLastOnline")) privacy.setShowLastOnline(settings.get("showLastOnline"));
 
-        privacySettingsMapper.insert(privacy);
+        if (existing != null) {
+            privacySettingsMapper.update(privacy,
+                    new LambdaUpdateWrapper<UserPrivacySettings>()
+                            .eq(UserPrivacySettings::getUserId, userId));
+        } else {
+            privacySettingsMapper.insert(privacy);
+        }
         return getPrivacySettings(userId);
     }
 }

backend/src/main/java/com/danyang/match/platform/profile/service/UserPreferenceService.java

@@ -1,11 +1,13 @@
 package com.danyang.match.platform.profile.service;
 
+import com.baomidou.mybatisplus.core.conditions.update.LambdaUpdateWrapper;
 import com.danyang.match.platform.profile.entity.UserPreference;
 import com.danyang.match.platform.profile.mapper.UserPreferenceMapper;
 import lombok.RequiredArgsConstructor;
 import org.springframework.stereotype.Service;
 import org.springframework.transaction.annotation.Transactional;
 
+import java.time.Instant;
 import java.util.HashMap;
 import java.util.Map;
 
@@ -25,37 +27,55 @@ public class UserPreferenceService {
     }
 
     /**
-     * 保存择偶条件
+     * 保存择偶条件（无则插入、有则更新）。
+     *
+     * <p>2026-09-23 UAT 走查修复：此前无论记录是否存在都调 {@code insert()}，
+     * 再次保存即触发主键冲突（实测 {@code PUT /me/preferences} → 409
+     * {@code duplicate key value violates unique constraint "user_preferences_pkey"}）。
+     *
+     * <p><b>为何不用 {@code updateById}</b>：{@code UserPreference} 继承 {@code BaseEntity}，
+     * 其 {@code @TableId} 为 {@code id}，而库中真正的主键是 {@code user_id}
+     * （{@code id} 是 V037 后补的可空列 + 唯一索引，V037 之后新插入的行 {@code id} 为 NULL）。
+     * 用 {@code updateById} 会退化成 {@code WHERE id IS NULL} 静默不更新，
+     * 因此按 {@code user_id} 定位。
      */
     @Transactional
     public UserPreference savePreference(String userId, Map<String, Object> data) {
-        UserPreference pref = userPreferenceMapper.findByUserId(userId)
-                .orElseGet(() -> {
-                    UserPreference p = new UserPreference();
-                    p.setUserId(userId);
-                    return p;
-                });
+        UserPreference pref = userPreferenceMapper.findByUserId(userId).orElse(null);
+        boolean exists = pref != null;
+        if (!exists) {
+            pref = new UserPreference();
+            pref.setUserId(userId);
+        }
 
-        if (data.containsKey("minAge")) pref.setMinAge((Integer) data.get("minAge"));
-        if (data.containsKey("maxAge")) pref.setMaxAge((Integer) data.get("maxAge"));
-        if (data.containsKey("agePriority")) pref.setAgePriority((String) data.get("agePriority"));
-        if (data.containsKey("minHeightCm")) pref.setMinHeightCm((Integer) data.get("minHeightCm"));
-        if (data.containsKey("maxHeightCm")) pref.setMaxHeightCm((Integer) data.get("maxHeightCm"));
-        if (data.containsKey("heightPriority")) pref.setHeightPriority((String) data.get("heightPriority"));
-        if (data.containsKey("regionScope")) pref.setRegionScope(toJsonNode(data.get("regionScope")));
-        if (data.containsKey("regionPriority")) pref.setRegionPriority((String) data.get("regionPriority"));
-        if (data.containsKey("maritalStatuses")) pref.setMaritalStatuses(toJsonNode(data.get("maritalStatuses")));
-        if (data.containsKey("maritalPriority")) pref.setMaritalPriority((String) data.get("maritalPriority"));
-        if (data.containsKey("minEducationCode")) pref.setMinEducationCode((String) data.get("minEducationCode"));
-        if (data.containsKey("educationPriority")) pref.setEducationPriority((String) data.get("educationPriority"));
-        if (data.containsKey("childrenAcceptance")) pref.setChildrenAcceptance((String) data.get("childrenAcceptance"));
-        if (data.containsKey("childrenPriority")) pref.setChildrenPriority((String) data.get("childrenPriority"));
-        if (data.containsKey("smokingPreference")) pref.setSmokingPreference((String) data.get("smokingPreference"));
-        if (data.containsKey("drinkingPreference")) pref.setDrinkingPreference((String) data.get("drinkingPreference"));
-        if (data.containsKey("settlementPreference")) pref.setSettlementPreference((String) data.get("settlementPreference"));
-        if (data.containsKey("marriagePlanPreference")) pref.setMarriagePlanPreference((String) data.get("marriagePlanPreference"));
+        if (data != null) {
+            if (data.containsKey("minAge")) pref.setMinAge((Integer) data.get("minAge"));
+            if (data.containsKey("maxAge")) pref.setMaxAge((Integer) data.get("maxAge"));
+            if (data.containsKey("agePriority")) pref.setAgePriority((String) data.get("agePriority"));
+            if (data.containsKey("minHeightCm")) pref.setMinHeightCm((Integer) data.get("minHeightCm"));
+            if (data.containsKey("maxHeightCm")) pref.setMaxHeightCm((Integer) data.get("maxHeightCm"));
+            if (data.containsKey("heightPriority")) pref.setHeightPriority((String) data.get("heightPriority"));
+            if (data.containsKey("regionScope")) pref.setRegionScope(toJsonNode(data.get("regionScope")));
+            if (data.containsKey("regionPriority")) pref.setRegionPriority((String) data.get("regionPriority"));
+            if (data.containsKey("maritalStatuses")) pref.setMaritalStatuses(toJsonNode(data.get("maritalStatuses")));
+            if (data.containsKey("maritalPriority")) pref.setMaritalPriority((String) data.get("maritalPriority"));
+            if (data.containsKey("minEducationCode")) pref.setMinEducationCode((String) data.get("minEducationCode"));
+            if (data.containsKey("educationPriority")) pref.setEducationPriority((String) data.get("educationPriority"));
+            if (data.containsKey("childrenAcceptance")) pref.setChildrenAcceptance((String) data.get("childrenAcceptance"));
+            if (data.containsKey("childrenPriority")) pref.setChildrenPriority((String) data.get("childrenPriority"));
+            if (data.containsKey("smokingPreference")) pref.setSmokingPreference((String) data.get("smokingPreference"));
+            if (data.containsKey("drinkingPreference")) pref.setDrinkingPreference((String) data.get("drinkingPreference"));
+            if (data.containsKey("settlementPreference")) pref.setSettlementPreference((String) data.get("settlementPreference"));
+            if (data.containsKey("marriagePlanPreference")) pref.setMarriagePlanPreference((String) data.get("marriagePlanPreference"));
+        }
 
-        userPreferenceMapper.insert(pref);;
+        if (exists) {
+            pref.setUpdatedAt(Instant.now());
+            userPreferenceMapper.update(pref,
+                    new LambdaUpdateWrapper<UserPreference>().eq(UserPreference::getUserId, userId));
+        } else {
+            userPreferenceMapper.insert(pref);
+        }
         return pref;
     }
 

backend/src/main/java/com/danyang/match/platform/profile/service/UserProfileService.java

@@ -11,6 +11,10 @@ import com.danyang.match.platform.profile.mapper.UserPrivacySettingsMapper;
 import com.danyang.match.platform.match.mapper.UserRelationMapper;
 import com.danyang.match.platform.profile.mapper.UserProfileMapper;
 import com.danyang.match.platform.shared.constant.Constants;
+import com.danyang.match.platform.shared.enums.ApiResponseCode;
+import com.danyang.match.platform.shared.exception.GlobalExceptionHandler;
+import com.danyang.match.platform.verification.entity.UserIdentity;
+import com.danyang.match.platform.verification.mapper.UserIdentityMapper;
 import lombok.RequiredArgsConstructor;
 import org.springframework.stereotype.Service;
 import org.springframework.transaction.annotation.Transactional;
@@ -27,6 +31,7 @@ public class UserProfileService {
     private final UserPreferenceMapper userPreferenceMapper;
     private final UserPrivacySettingsMapper privacySettingsMapper;
     private final UserRelationMapper relationMapper;
+    private final UserIdentityMapper userIdentityMapper;
 
     /**
      * 获取自己完整资料（含隐私设置）
@@ -60,8 +65,13 @@ public class UserProfileService {
             prefMap.put("maxHeightCm", pref.getMaxHeightCm());
             prefMap.put("heightPriority", pref.getHeightPriority());
             prefMap.put("regionScope", pref.getRegionScope());
+            prefMap.put("regionPriority", pref.getRegionPriority());
             prefMap.put("maritalStatuses", pref.getMaritalStatuses());
+            prefMap.put("maritalPriority", pref.getMaritalPriority());
+            prefMap.put("minEducationCode", pref.getMinEducationCode());
+            prefMap.put("educationPriority", pref.getEducationPriority());
             prefMap.put("childrenAcceptance", pref.getChildrenAcceptance());
+            prefMap.put("childrenPriority", pref.getChildrenPriority());
             prefMap.put("smokingPreference", pref.getSmokingPreference());
             prefMap.put("drinkingPreference", pref.getDrinkingPreference());
             prefMap.put("settlementPreference", pref.getSettlementPreference());
@@ -84,56 +94,185 @@ public class UserProfileService {
     }
 
     /**
-     * 更新基础资料
+     * 更新基础资料（资料完善流程分节写）。
+     *
+     * <p>2026-09-23 UAT 走查修复：此前无论记录是否存在都调 {@code insert()}，
+     * 已有资料再次保存 → 主键冲突 → 500。改为「无则 insert / 有则 updateById」。
+     * 另补 {@code gender}/{@code birth_date} 的 NOT NULL 兜底（见 {@link #ensureIdentityFields}）。
      */
     @Transactional
     public UserProfile updateBasicProfile(String userId, Map<String, Object> fields) {
-        UserProfile profile = userProfileMapper.findByUserId(userId)
-                .orElseGet(() -> {
-                    UserProfile p = new UserProfile();
-                    p.setUserId(userId);
-                    p.setProfileStatus(Constants.PROFILE_STATUS_IN_PROGRESS);
-                    return p;
-                });
-
-        if (fields.containsKey("displayName")) profile.setDisplayName((String) fields.get("displayName"));
-        if (fields.containsKey("heightCm")) profile.setHeightCm((Integer) fields.get("heightCm"));
-        if (fields.containsKey("regionCode")) profile.setRegionCode((String) fields.get("regionCode"));
-        if (fields.containsKey("regionName")) profile.setRegionName((String) fields.get("regionName"));
-        if (fields.containsKey("maritalStatus")) profile.setMaritalStatus((String) fields.get("maritalStatus"));
-        if (fields.containsKey("childrenStatus")) profile.setChildrenStatus((String) fields.get("childrenStatus"));
-        if (fields.containsKey("educationCode")) profile.setEducationCode((String) fields.get("educationCode"));
-        if (fields.containsKey("occupationCode")) profile.setOccupationCode((String) fields.get("occupationCode"));
-        if (fields.containsKey("workRegionCode")) profile.setWorkRegionCode((String) fields.get("workRegionCode"));
+        UserProfile profile = userProfileMapper.findByUserId(userId).orElse(null);
+        boolean exists = profile != null;
+        if (!exists) {
+            profile = new UserProfile();
+            profile.setUserId(userId);
+            profile.setProfileStatus(Constants.PROFILE_STATUS_IN_PROGRESS);
+        }
 
+        applyProfileFields(profile, fields);
+        ensureIdentityFields(profile);
         profile.setProfileCompletion(calculateCompletion(profile));
-        userProfileMapper.insert(profile);
+        persistProfile(profile, exists);
 
         return profile;
     }
 
     /**
-     * 更新个人资料
+     * 更新个人资料（资料完善向导的最终提交，置为 completed）。
+     *
+     * <p>2026-09-23 UAT 走查修复：同 {@link #updateBasicProfile}，消除「二次保存必崩」。
      */
     @Transactional
     public void updateProfile(String userId, Map<String, Object> fields) {
-        UserProfile profile = userProfileMapper.findByUserId(userId).orElse(new UserProfile());
-        profile.setUserId(userId);
-
-        // 基础字段映射
-        if (fields.containsKey("displayName")) profile.setDisplayName((String) fields.get("displayName"));
-        if (fields.containsKey("heightCm")) profile.setHeightCm((Integer) fields.get("heightCm"));
-        if (fields.containsKey("regionCode")) profile.setRegionCode((String) fields.get("regionCode"));
-        if (fields.containsKey("regionName")) profile.setRegionName((String) fields.get("regionName"));
-        if (fields.containsKey("maritalStatus")) profile.setMaritalStatus((String) fields.get("maritalStatus"));
-        if (fields.containsKey("childrenStatus")) profile.setChildrenStatus((String) fields.get("childrenStatus"));
-        if (fields.containsKey("educationCode")) profile.setEducationCode((String) fields.get("educationCode"));
-        if (fields.containsKey("occupationCode")) profile.setOccupationCode((String) fields.get("occupationCode"));
-        if (fields.containsKey("workRegionCode")) profile.setWorkRegionCode((String) fields.get("workRegionCode"));
+        UserProfile profile = userProfileMapper.findByUserId(userId).orElse(null);
+        boolean exists = profile != null;
+        if (!exists) {
+            profile = new UserProfile();
+            profile.setUserId(userId);
+        }
 
+        applyProfileFields(profile, fields);
+        ensureIdentityFields(profile);
         profile.setProfileCompletion(calculateCompletion(profile));
         profile.setProfileStatus(Constants.PROFILE_STATUS_COMPLETED);
-        userProfileMapper.insert(profile);
+        persistProfile(profile, exists);
+    }
+
+    /**
+     * 落库：无则插入、有则按主键 user_id 更新。
+     *
+     * <p>{@code UserProfile} 的 {@code @TableId = userId}，与库主键 {@code user_profiles.user_id}
+     * 一致，故 {@code updateById} 安全（对比 {@code UserPreference} 实体 id 与库主键不一致的情形）。
+     */
+    private void persistProfile(UserProfile profile, boolean exists) {
+        if (exists) {
+            userProfileMapper.updateById(profile);
+        } else {
+            userProfileMapper.insert(profile);
+        }
+    }
+
+    /**
+     * 把请求字段映射到资料实体。
+     *
+     * <p>同时接受「规范字段名」与小程序的既有字段名，二者等价：
+     * <ul>
+     *   <li>{@code childrenStatus}（none/yes）↔ {@code hasChildren}（布尔）</li>
+     *   <li>{@code occupationCode} ↔ {@code occupationCategory}</li>
+     *   <li>{@code workRegionCode} ↔ {@code workRegion}</li>
+     * </ul>
+     * 这使「REST 规范 / 管理端」与「小程序完善资料向导」共用同一写接口，
+     * 避免因命名不一致导致字段被静默丢弃（UAT 走查发现向导的子女/职业/工作地三项
+     * 此前根本写不进库）。
+     */
+    private void applyProfileFields(UserProfile profile, Map<String, Object> fields) {
+        if (fields == null) return;
+        if (fields.containsKey("displayName")) profile.setDisplayName(asString(fields.get("displayName")));
+        if (fields.containsKey("gender")) profile.setGender(asString(fields.get("gender")));
+        if (fields.containsKey("birthDate")) profile.setBirthDate(asDate(fields.get("birthDate")));
+        if (fields.containsKey("heightCm")) profile.setHeightCm(asInteger(fields.get("heightCm")));
+        if (fields.containsKey("regionCode")) profile.setRegionCode(asString(fields.get("regionCode")));
+        if (fields.containsKey("regionName")) profile.setRegionName(asString(fields.get("regionName")));
+        if (fields.containsKey("maritalStatus")) profile.setMaritalStatus(asString(fields.get("maritalStatus")));
+
+        // 子女：规范名 childrenStatus（none/yes）优先，兼容向导的 hasChildren（布尔）
+        if (fields.containsKey("childrenStatus")) {
+            profile.setChildrenStatus(asString(fields.get("childrenStatus")));
+        } else if (fields.containsKey("hasChildren")) {
+            Boolean has = asBoolean(fields.get("hasChildren"));
+            if (has != null) profile.setChildrenStatus(has ? "yes" : "none");
+        }
+
+        if (fields.containsKey("educationCode")) profile.setEducationCode(asString(fields.get("educationCode")));
+
+        // 职业：规范名 occupationCode 优先，兼容向导的 occupationCategory
+        if (fields.containsKey("occupationCode")) {
+            profile.setOccupationCode(asString(fields.get("occupationCode")));
+        } else if (fields.containsKey("occupationCategory")) {
+            profile.setOccupationCode(asString(fields.get("occupationCategory")));
+        }
+
+        // 工作地：规范名 workRegionCode 优先，兼容向导的 workRegion
+        if (fields.containsKey("workRegionCode")) {
+            profile.setWorkRegionCode(asString(fields.get("workRegionCode")));
+        } else if (fields.containsKey("workRegion")) {
+            profile.setWorkRegionCode(asString(fields.get("workRegion")));
+        }
+
+        if (fields.containsKey("smokingStatus")) profile.setSmokingStatus(asString(fields.get("smokingStatus")));
+        if (fields.containsKey("drinkingStatus")) profile.setDrinkingStatus(asString(fields.get("drinkingStatus")));
+        if (fields.containsKey("longTermDanyang")) profile.setLongTermDanyang(asString(fields.get("longTermDanyang")));
+        if (fields.containsKey("futureDanyang")) profile.setFutureDanyang(asString(fields.get("futureDanyang")));
+        if (fields.containsKey("relationshipGoal")) profile.setRelationshipGoal(asString(fields.get("relationshipGoal")));
+        if (fields.containsKey("marriagePlan")) profile.setMarriagePlan(asString(fields.get("marriagePlan")));
+        if (fields.containsKey("selfIntro")) profile.setSelfIntro(asString(fields.get("selfIntro")));
+    }
+
+    /**
+     * {@code user_profiles.gender} 与 {@code birth_date} 在库中为 NOT NULL，而资料完善向导
+     * 不采集这两项（性别是「已认证」的只读信息）——权威来源是实名认证
+     * （{@code user_identities}），产品流程亦为「先实名、后完善资料」。
+     *
+     * <p>因此：请求未提供时从已通过实名认证的记录补齐；仍缺失则给出明确的
+     * 4xx 业务拒绝（而非让数据库抛 NOT NULL 约束错渲染成 500）。
+     */
+    private void ensureIdentityFields(UserProfile profile) {
+        boolean needGender = profile.getGender() == null || profile.getGender().isBlank();
+        boolean needBirth = profile.getBirthDate() == null;
+        if (!needGender && !needBirth) return;
+
+        UserIdentity identity = userIdentityMapper.findByUserId(profile.getUserId()).orElse(null);
+        if (identity != null && Constants.VERIFICATION_STATUS_VERIFIED.equals(identity.getVerificationStatus())) {
+            if (needGender && identity.getGender() != null && !identity.getGender().isBlank()) {
+                profile.setGender(identity.getGender());
+                needGender = false;
+            }
+            if (needBirth && identity.getBirthDate() != null) {
+                profile.setBirthDate(identity.getBirthDate());
+                needBirth = false;
+            }
+        }
+
+        if (needGender || needBirth) {
+            throw new GlobalExceptionHandler.BusinessException(ApiResponseCode.BAD_REQUEST,
+                    "请先完成实名认证后再完善资料");
+        }
+    }
+
+    private static String asString(Object v) {
+        return v == null ? null : String.valueOf(v);
+    }
+
+    private static Integer asInteger(Object v) {
+        if (v == null) return null;
+        if (v instanceof Number n) return n.intValue();
+        try {
+            return Integer.valueOf(String.valueOf(v).trim());
+        } catch (NumberFormatException e) {
+            return null;
+        }
+    }
+
+    private static Boolean asBoolean(Object v) {
+        if (v == null) return null;
+        if (v instanceof Boolean b) return b;
+        String s = String.valueOf(v).trim();
+        if ("true".equalsIgnoreCase(s) || "yes".equalsIgnoreCase(s) || "has".equalsIgnoreCase(s)) return true;
+        if ("false".equalsIgnoreCase(s) || "no".equalsIgnoreCase(s) || "none".equalsIgnoreCase(s)) return false;
+        return null;
+    }
+
+    private static LocalDate asDate(Object v) {
+        if (v == null) return null;
+        if (v instanceof LocalDate d) return d;
+        String s = String.valueOf(v).trim();
+        if (s.isEmpty()) return null;
+        try {
+            return LocalDate.parse(s);
+        } catch (RuntimeException e) {
+            return null;
+        }
     }
 
     /**

backend/src/main/java/com/danyang/match/platform/referral/service/ReferralService.java

@@ -8,6 +8,8 @@ import com.danyang.match.platform.permission.mapper.OperatorMapper;
 import com.danyang.match.platform.service_appointment.entity.ServiceAppointment;
 import com.danyang.match.platform.service_appointment.mapper.ServiceAppointmentMapper;
 import com.danyang.match.platform.shared.constant.Constants;
+import com.danyang.match.platform.shared.enums.ApiResponseCode;
+import com.danyang.match.platform.shared.exception.GlobalExceptionHandler.BusinessException;
 import lombok.RequiredArgsConstructor;
 import lombok.extern.slf4j.Slf4j;
 import org.springframework.stereotype.Service;
@@ -94,7 +96,7 @@ public class ReferralService {
                 new LambdaQueryWrapper<ActivityRegistration>()
                         .eq(ActivityRegistration::getActivityId, activityId)
                         .eq(ActivityRegistration::getUserId, userId));
-        if (existing != null) throw new RuntimeException("用户已报名该活动");
+        if (existing != null) throw new BusinessException(ApiResponseCode.ACTIVITY_ALREADY_REGISTERED, "用户已报名该活动");
 
         String operatorName = getOperatorName(matchmakerId);
         ActivityRegistration reg = new ActivityRegistration();
@@ -126,12 +128,26 @@ public class ReferralService {
         return result;
     }
 
+    /**
+     * 用户确认转介（预约 / 活动报名）。
+     *
+     * <p>拒绝路径统一走 {@link BusinessException}（带语义化业务码 → 4xx），
+     * 不再用裸 {@code RuntimeException}：后者在 {@code GlobalExceptionHandler}
+     * 只会命中兜底分支变成 HTTP 500，「无权操作」被报成服务端故障。
+     */
     @Transactional
     public Map<String, Object> confirmReferral(String userId, String targetId, String targetType) {
         if ("service_station".equals(targetType)) {
             ServiceAppointment appt = appointmentMapper.selectById(targetId);
-            if (appt == null || !userId.equals(appt.getUserId())) throw new RuntimeException("预约不存在或无权操作");
-            if (!Constants.REFERRAL_SOURCE_MATCHMAKER_REFERRAL.equals(appt.getSource())) throw new RuntimeException("该预约不是转介类型");
+            if (appt == null) {
+                throw new BusinessException(ApiResponseCode.NOT_FOUND, "预约不存在");
+            }
+            if (!userId.equals(appt.getUserId())) {
+                throw new BusinessException(ApiResponseCode.FORBIDDEN, "无权确认他人的转介预约");
+            }
+            if (!Constants.REFERRAL_SOURCE_MATCHMAKER_REFERRAL.equals(appt.getSource())) {
+                throw new BusinessException(ApiResponseCode.REDUNDANT_OPERATION, "该预约不是转介类型");
+            }
             appt.setUserConfirmedAt(Instant.now());
             appt.setStatus(Constants.APPOINTMENT_STATUS_PENDING_CONFIRMATION);
             appt.setUpdatedAt(Instant.now());
@@ -144,8 +160,15 @@ public class ReferralService {
             return result;
         } else if ("activity".equals(targetType)) {
             ActivityRegistration reg = activityRegistrationMapper.selectById(targetId);
-            if (reg == null || !userId.equals(reg.getUserId())) throw new RuntimeException("报名不存在或无权操作");
-            if (!Constants.REFERRAL_SOURCE_MATCHMAKER_REFERRAL.equals(reg.getSource())) throw new RuntimeException("该报名不是转介类型");
+            if (reg == null) {
+                throw new BusinessException(ApiResponseCode.NOT_FOUND, "报名不存在");
+            }
+            if (!userId.equals(reg.getUserId())) {
+                throw new BusinessException(ApiResponseCode.FORBIDDEN, "无权确认他人的转介报名");
+            }
+            if (!Constants.REFERRAL_SOURCE_MATCHMAKER_REFERRAL.equals(reg.getSource())) {
+                throw new BusinessException(ApiResponseCode.REDUNDANT_OPERATION, "该报名不是转介类型");
+            }
             reg.setUserConfirmedAt(Instant.now());
             reg.setUpdatedAt(Instant.now());
             activityRegistrationMapper.updateById(reg);
@@ -156,7 +179,7 @@ public class ReferralService {
             result.put("confirmedAt", reg.getUserConfirmedAt());
             return result;
         } else {
-            throw new RuntimeException("不支持的转介类型: " + targetType);
+            throw new BusinessException(ApiResponseCode.BAD_REQUEST, "不支持的转介类型: " + targetType);
         }
     }
 

backend/src/main/java/com/danyang/match/platform/relationship/service/RelationshipService.java

@@ -24,6 +24,9 @@ import org.springframework.transaction.annotation.Transactional;
 import java.time.Instant;
 import java.util.*;
 import java.util.stream.Collectors;
+import com.danyang.match.platform.shared.enums.ApiResponseCode;
+import com.danyang.match.platform.shared.exception.GlobalExceptionHandler.BusinessException;
+import com.danyang.match.platform.shared.exception.GlobalExceptionHandler;
 
 /**
  * 关系服务
@@ -53,12 +56,12 @@ public class RelationshipService {
     public Map<String, Object> like(String userId, String targetUserId) {
         // 检查是否已Block
         if (isBlocked(userId, targetUserId)) {
-            throw new RuntimeException("对方已将你拉黑，无法表达喜欢");
+            throw new BusinessException(ApiResponseCode.USER_BLOCKED, "对方已将你拉黑，无法表达喜欢");
         }
 
         // 检查是否已Like
         if (relationMapper.findByRelation(userId, targetUserId, Constants.RELATION_TYPE_LIKED).isPresent()) {
-            throw new RuntimeException("已经表达过喜欢");
+            throw new BusinessException(ApiResponseCode.ALREADY_LIKED, "已经表达过喜欢");
         }
 
         // 原子插入
@@ -102,7 +105,7 @@ public class RelationshipService {
     @Transactional
     public void cancelLike(String userId, String targetUserId) {
         UserRelation relation = relationMapper.findByRelation(userId, targetUserId, Constants.RELATION_TYPE_LIKED)
-                .orElseThrow(() -> new RuntimeException("没有找到喜欢关系"));
+                .orElseThrow(() -> new GlobalExceptionHandler.BusinessException(ApiResponseCode.NOT_FOUND, "没有找到喜欢关系"));
 
         relationMapper.deleteById(relation.getId());
         log.info("取消喜欢: userId={}, targetUserId={}", userId, targetUserId);
@@ -117,7 +120,7 @@ public class RelationshipService {
     public void pass(String userId, String targetUserId) {
         // 检查是否已Block（Block优先于Pass）
         if (isBlocked(userId, targetUserId)) {
-            throw new RuntimeException("对方已将你拉黑");
+            throw new BusinessException(ApiResponseCode.USER_BLOCKED, "对方已将你拉黑");
         }
 
         // 原子插入（唯一约束保证幂等）
@@ -147,7 +150,7 @@ public class RelationshipService {
     public void block(String userId, String targetUserId) {
         // 检查是否已Block
         if (relationMapper.findByRelation(userId, targetUserId, Constants.RELATION_TYPE_BLOCKED).isPresent()) {
-            throw new RuntimeException("已经拉黑过该用户");
+            throw new BusinessException(ApiResponseCode.ALREADY_BLOCKED, "已经拉黑过该用户");
         }
 
         // 插入Block关系
@@ -182,7 +185,7 @@ public class RelationshipService {
     @Transactional
     public void unblock(String userId, String targetUserId) {
         UserRelation relation = relationMapper.findByRelation(userId, targetUserId, Constants.RELATION_TYPE_BLOCKED)
-                .orElseThrow(() -> new RuntimeException("没有拉黑过该用户"));
+                .orElseThrow(() -> new GlobalExceptionHandler.BusinessException(ApiResponseCode.NOT_FOUND, "没有拉黑过该用户"));
 
         relationMapper.deleteById(relation.getId());
         log.info("解除拉黑: userId={}, targetUserId={}", userId, targetUserId);
@@ -204,7 +207,7 @@ public class RelationshipService {
         Match existing = matchMapper.findActiveMatch(userId, targetUserId).orElse(null);
         if (existing != null) {
             // 已存在有效Match，不需要重复创建
-            throw new RuntimeException("匹配已存在");
+            throw new BusinessException(ApiResponseCode.CONFLICT, "匹配已存在");
         }
 
         // Phase 12 复验修复（D5）：本方法此前不设置 episode / lastActivityAt，
@@ -321,7 +324,7 @@ public class RelationshipService {
     @Transactional
     public void unmatch(String userId, String targetUserId) {
         Match match = matchMapper.findActiveMatch(userId, targetUserId)
-                .orElseThrow(() -> new RuntimeException("没有找到有效的匹配关系"));
+                .orElseThrow(() -> new GlobalExceptionHandler.BusinessException(ApiResponseCode.NOT_FOUND, "没有找到有效的匹配关系"));
 
         match.setStatus(Constants.MATCH_STATUS_UNMATCHED);
         match.setUnmatchedAt(Instant.now());