优化

scripts/README.md

@@ -53,11 +53,11 @@ node scripts/acceptance-overview.mjs --report reports/<明确的一次验收报
 
 最新部署与已验/未验状态仍只维护在外层 `docs/测试环境单机部署与配置契约.md`；本索引不复制每日进度。总览不校验实际部署版本、不读取环境文件，执行前仍须经正式入口校验凭据和环境。直接离线测试为 `acceptance-overview.test.mjs`。
 
-`local-dispatch-transport-acceptance.mjs`：仅本机 LOCAL 的现有排车运输任务 HTTP 验收。显式 `node --env-file=<本机凭据文件>` 注入 `ADMIN_TEST_GATEWAY`、`ADMIN_TEST_USERNAME/PASSWORD`、`LOCAL_TRANSFER_PDA_PASSWORD`；拒绝远端网关。创建3张 TEST 仓储转运单、1张本土卡车原单、5张排车（完成/取消/重新安排），以及本轮专用调度/PDA账号、角色、车辆司机；缺失的正式排车权限仅补资源并授予专用角色，不修改既有角色。经正式网关验证原单审核、跨客户取货、资源冲突、凭证隔离、取消重排、发车完成回写、独立仓库清点和车辆司机释放。合成 PNG 只验文件链路，不代表实际运输或有效证照。默认报告 `reports/local-dispatch-transport.json`，可用 `TRANSPORT_ACCEPTANCE_OUTPUT` 指定；每步保留请求键、脱敏意图、错误码和关联标识，失败停止且保留数据。确认已知失败结果后显式 `TRANSPORT_ACCEPTANCE_RESUME=true` 复用同一报告继续；网络结果未知必须先核对，不自动清理或删除，不使用业务 SQL。已成功批次禁止重复运行；不能替代远端部署或人工截图验收。
+`local-dispatch-transport-acceptance.mjs`：仅本机 LOCAL 的现有排车运输任务 HTTP 验收。显式 `node --env-file=<本机凭据文件>` 注入 `ADMIN_TEST_GATEWAY`、`ADMIN_TEST_USERNAME/PASSWORD`、`LOCAL_TRANSFER_PDA_USERNAME/PASSWORD`；拒绝远端网关。创建3张 TEST 仓储转运单、1张本土卡车原单、5张排车（完成/取消/重新安排），以及车辆司机；调度和PDA复用明确配置的既有账号，缺少正式权限即阻断，不创建角色或账号。经正式网关验证原单审核、跨客户取货、资源冲突、凭证隔离、取消重排、发车完成回写、独立仓库清点和车辆司机释放。合成 PNG 只验文件链路，不代表实际运输或有效证照。默认报告 `reports/local-dispatch-transport.json`，可用 `TRANSPORT_ACCEPTANCE_OUTPUT` 指定；每步保留请求键、脱敏意图、错误码和关联标识，失败停止且保留数据。确认已知失败结果后显式 `TRANSPORT_ACCEPTANCE_RESUME=true` 复用同一报告继续；网络结果未知必须先核对，不自动清理或删除，不使用业务 SQL。已成功批次禁止重复运行；不能替代远端部署或人工截图验收。
 
 `local-check.ps1`：Windows / PowerShell 7 本机重型检查统一入口，适用于前后端测试、类型检查、构建、安装依赖及 Maven。示例：`& ./scripts/local-check.ps1 -WorkingDirectory ../apps/admin-web -Label 'Admin typecheck' -Command @('pnpm', 'typecheck')`；`-Status` 查看占用。当前用户所有工作目录共用一个文件句柄锁，默认排队900秒、执行1200秒；超时分别退出75/124，其余透传命令退出码。Vitest workers=2，Node堆2048MB，Java堆1536MB/处理器2；直接 Maven 自动单线程/单fork，直接 Node 内置测试自动并发2。Windows Job Object 仅回收本次后代，不接管旧进程；嵌套调用拒绝，批次内部执行原始命令。无凭据、不主动联网或写业务数据；被包装命令的环境授权不变。状态和最近结果仅写 `%LOCALAPPDATA%/Chongchong/LocalChecks/`，不存命令参数或输出；不自动缓存成功结果。失败保留最近摘要，确认输入后重新排队；锁文件无需手工删除，状态不是验收报告。完整规则见 `../../docs/AI工程执行与协作约束.md` 的“本机重型检查与多对话限流”；离线行为测试为 `local-check.test.mjs`。
 
-`local-transfer-pickup-acceptance.mjs`：仅本机 LOCAL 仓储转运取货造数与 HTTP 验收，拒绝非 localhost/127.0.0.1 Gateway。通过 `node --env-file=<本轮明确的本地配置> scripts/local-transfer-pickup-acceptance.mjs` 注入 `ADMIN_TEST_GATEWAY`、`ADMIN_TEST_USERNAME`、`ADMIN_TEST_PASSWORD`、`LOCAL_TRANSFER_PDA_PASSWORD`，不猜测或读取其他环境文件。创建16张明确 TEST 标记的业务单、专用PDA账号、司机车辆和多状态取货车次，含客户下单、跨客户共车、取消改派、资源占用、凭证隔离、送仓门禁与完整PDA测量。所有业务均走正式 Gateway HTTP，不用业务 SQL；文件是合成测试 PNG，不代表实际拍照或有效证照。报告默认 `reports/PICKUP-<新批次>.json`，可用 `PICKUP_ACCEPTANCE_OUTPUT` 指定；写入前保存脱敏意图与幂等键，逐阶段落盘。失败立即停止并保留已成功数据及报告，未知结果先核对原请求，不自动重发；重新执行会创建新批次，不自动续跑或清理旧记录。人工核实原请求结果后，可显式用 `PICKUP_ACCEPTANCE_RESUME=<本轮报告>` 沿已知单号继续验收；已成功批次禁止重复执行。脚本记录每次执行范围与结果，旧失败不删除；本机缺失的正式车次取消/结案/释放权限仅补权限资源并授权新建专用验收角色，不修改现有角色授权。账号和单据保留供本地页面验收，不能作为远端 TEST/生产或视觉验收结论。
+`local-transfer-pickup-acceptance.mjs`：仅本机 LOCAL 仓储转运取货造数与 HTTP 验收，拒绝非 localhost/127.0.0.1 Gateway。通过 `node --env-file=<本轮明确的本地配置> scripts/local-transfer-pickup-acceptance.mjs` 注入 `ADMIN_TEST_GATEWAY`、`ADMIN_TEST_USERNAME`、`ADMIN_TEST_PASSWORD`、`LOCAL_TRANSFER_PDA_USERNAME`、`LOCAL_TRANSFER_PDA_PASSWORD`，不猜测或读取其他环境文件。复用配置的平台账号与已有仓绑定PDA，创建16张明确 TEST 标记的业务单、司机车辆和多状态取货车次，含客户下单、跨客户共车、取消改派、资源占用、凭证隔离、送仓门禁与完整PDA测量。所有业务均走正式 Gateway HTTP，不用业务 SQL；文件是合成测试 PNG，不代表实际拍照或有效证照。报告默认 `reports/PICKUP-<新批次>.json`，可用 `PICKUP_ACCEPTANCE_OUTPUT` 指定；写入前保存脱敏意图与幂等键，逐阶段落盘。失败立即停止并保留已成功数据及报告，未知结果先核对原请求，不自动重发；重新执行会创建新批次，不自动续跑或清理旧记录。人工核实原请求结果后，可显式用 `PICKUP_ACCEPTANCE_RESUME=<本轮报告>` 沿已知单号继续验收；已成功批次禁止重复执行。脚本记录每次执行范围与结果，旧失败不删除；本机固定账号缺失正式车次取消/结案/释放权限时停止，不补权限资源、不创建角色或用户。账号和单据保留供本地页面验收，不能作为远端 TEST/生产或视觉验收结论。
 
 `db/fleet-transfer-pickup-20261017.sql`：本功能 MySQL8 可重复执行结构增量，显式指向 `baiyue_lastleg`。为原车次增加 `trip_purpose`，新增取货计划摘要、原单任务、命令幂等、上传归属及历史五表；不写业务数据。结构同步于模块 `lastleg.sql` 和统一部署增量。需在已授权环境用运行者显式数据库凭据执行；失败保留诊断，修正后可重复执行，不删旧结构或业务数据。
 
@@ -88,15 +88,15 @@ node scripts/acceptance-overview.mjs --report reports/<明确的一次验收报
 `db/return-relabel-truck-incremental-20261008.sql` 为本地退货换标排车增量，显式指向 `baiyue_iam` / `baiyue_lastleg`，适用于 MySQL 8。补齐管理员正式司机、车次与审核权限，以及车辆容量和正式车队表；不修改退货库存或业务单据。凭据从本机配置读取，可重复执行，失败保留原错误和业务现场；重新登录后核对权限快照。结构同步到基线及两个统一增量，权限由正式 IAM 权限种子维护。
 
 `db/return-packing-incremental-20261008.sql` 为本地退货合箱增量，明确指向 `baiyue_iam` 和 `baiyue_lastleg`，适用于 MySQL 8，可重复执行。初始化平台管理员的库存管理权限，补齐精确预占、原退货单来源追溯、完成结果幂等快照和箱级库位字段，移除“一签收单只能一箱”的旧唯一索引；不修改退货、库存等业务数据。数据库凭据从本机环境配置读取；执行失败应保留原错误，修复后重跑，不清理验收业务单据。同批结构已同步到基线、海外统一增量与 `db/incremental.sql`。
-`fleet-capacity-pool-ui-fixture-gray.mjs` 仅准备本轮授权的 GRAY 拼车角色页面、报价引用和 PDA H5 验收数据，复用 TEST UI producer/core，默认 `--plan` 零网络。执行使用 `node --env-file=<jenkins.env> --env-file=<gray-acceptance.env> scripts/fleet-capacity-pool-ui-fixture-gray.mjs --execute --environment GRAY --run-id <新批次> --warehouse-id <实际收货仓ID> --destination-warehouse-id <FBA目的仓ID> --private-credentials-file <私有env目录直接子级的独占JSON绝对路径>`。保留实际 `CHONGCHONG_ENV=prod|gray`，配置沿 GRAY 拼车专项的 CHONGCHONG_ADMIN 与 JENKINS_*；强制生产身份只读reader和品牌transport，不接受producer/reader覆盖。只建两客户真实来货、自有18/30计划、4完整草稿、两个销售及最小manage调度；销售A另含quote:list，销售B不含。准备窗口按同一时刻固定为8小时截止、9小时后计划发车、10小时后派送预计到站和12小时后司机结束；LocalDateTime到站与Instant车次时间分别处理。保留本批唯一仓绑定PDA为ACTIVE供H5，私有文件标记用途/仓库，不自动停用；脚本会话仍注销。凭据首次写入前wx独占并fsync，报告 `reports/fleet-capacity-pool-ui-gray-<批次>/` 全部脱敏，使用共享写锁，未知结果停写且不自动重试或覆盖；不创建池商业单、不发车签收、不写SQL或部署。原TEST UI入口仍24草稿且自动停用PDA。直接离线保护为 `fleet-capacity-pool-ui-fixture-gray.test.mjs`，凭据独占及脱敏复用 `fleet-capacity-pool-ui-fixture-test-env.test.mjs`。
+`fleet-capacity-pool-ui-fixture-gray.mjs` 仅准备本轮授权的 GRAY 拼车角色页面、报价引用和 PDA H5 验收数据，复用 TEST UI producer/core，默认 `--plan` 零网络。执行使用 `node --env-file=<jenkins.env> --env-file=<gray-acceptance.env> scripts/fleet-capacity-pool-ui-fixture-gray.mjs --execute --environment GRAY --run-id <新批次> --warehouse-id <实际收货仓ID> --destination-warehouse-id <FBA目的仓ID> --private-credentials-file <私有env目录直接子级的独占JSON绝对路径>`。保留实际 `CHONGCHONG_ENV=prod|gray`，配置沿 GRAY 拼车专项的 CHONGCHONG_ADMIN 与 JENKINS_*；强制生产身份只读reader和品牌transport，不接受producer/reader覆盖。复用两个客户、销售与最小manage调度账号，只建两客户真实来货、自有18/30计划及4完整草稿；销售A另含quote:list，销售B不含。准备窗口按同一时刻固定为8小时截止、9小时后计划发车、10小时后派送预计到站和12小时后司机结束；LocalDateTime到站与Instant车次时间分别处理。保留本批唯一仓绑定PDA为ACTIVE供H5，私有文件标记用途/仓库，不自动停用；脚本会话仍注销。凭据首次写入前wx独占并fsync，报告 `reports/fleet-capacity-pool-ui-gray-<批次>/` 全部脱敏，使用共享写锁，未知结果停写且不自动重试或覆盖；不创建池商业单、不发车签收、不写SQL或部署。原TEST UI入口仍24草稿，固定PDA保持原状态。直接离线保护为 `fleet-capacity-pool-ui-fixture-gray.test.mjs`，凭据独占及脱敏复用 `fleet-capacity-pool-ui-fixture-test-env.test.mjs`。
 
-`fleet-capacity-pool-gray.mjs` 是明确 GRAY 的拼车专项入口，复用既有池全流程矩阵与两客户实货前置，不执行旧 FBA 下单、报关或装柜链。默认 `--plan` 零网络、零文件写入；执行必须传 `--execute --environment GRAY --run-id <新批次> --warehouse-id <实际海外仓ID> --destination-warehouse-id <FBA目的仓ID>`。命令前使用 `node --env-file=<独立jenkins.env> --env-file=<明确gray-acceptance.env>`，要求 `CHONGCHONG_ENV=prod` 或 `gray`、`CHONGCHONG_ADMIN_API_BASE_URL`（统一 HTTPS 源站加 `/api`）、`CHONGCHONG_ADMIN_USERNAME/PASSWORD` 和 `JENKINS_URL/USER/API_TOKEN`；不改私有配置、不冒充 TEST、不使用 TEST agent。库存证据由 `createGrayEvidenceReaders` 校验生产容器、profile及数据库身份后只读取得。报告独占 `reports/fleet-pool-gray-<新批次>/`，沿共享 `.fleet-acceptance.lock` 串行执行；每次写入先持久记录原键与意图，结果未知停写，失败保留样本，不自动续跑或覆盖。结束停用本轮临时销售/调度/PDA账号、退出会话；合成客户、司机/车辆、报价、文件和业务样本留存，费用仍由唯一真实派送来源产生，不发起支付。Admin 通用 GRAY CLI 的 F40 白名单不变，专用 transport factory 只能创建空模块且无故障注入的灰度上下文。直接合同 `fleet-capacity-pool-gray.test.mjs` 验证环境隔离、品牌门禁和复用范围；原 TEST CLI 仍拒绝 GRAY。本入口不部署、不写业务 SQL，不将专项通过冒充全部页面验收。
+`fleet-capacity-pool-gray.mjs` 是明确 GRAY 的拼车专项入口，复用既有池全流程矩阵与两客户实货前置，不执行旧 FBA 下单、报关或装柜链。默认 `--plan` 零网络、零文件写入；执行必须传 `--execute --environment GRAY --run-id <新批次> --warehouse-id <实际海外仓ID> --destination-warehouse-id <FBA目的仓ID>`。命令前使用 `node --env-file=<独立jenkins.env> --env-file=<明确gray-acceptance.env>`，要求 `CHONGCHONG_ENV=prod` 或 `gray`、`CHONGCHONG_ADMIN_API_BASE_URL`（统一 HTTPS 源站加 `/api`）、`CHONGCHONG_ADMIN_USERNAME/PASSWORD` 和 `JENKINS_URL/USER/API_TOKEN`；不改私有配置、不冒充 TEST、不使用 TEST agent。库存证据由 `createGrayEvidenceReaders` 校验生产容器、profile及数据库身份后只读取得。报告独占 `reports/fleet-pool-gray-<新批次>/`，沿共享 `.fleet-acceptance.lock` 串行执行；每次写入先持久记录原键与意图，结果未知停写，失败保留样本，不自动续跑或覆盖。结束退出固定销售/调度/PDA账号的本轮会话，不停用账号或角色；固定客户不创建、不归档、不重置密码，业务样本和附件留存，费用仍由唯一真实派送来源产生，不发起支付。Admin 通用 GRAY CLI 的 F40 白名单不变，专用 transport factory 只能创建空模块且无故障注入的灰度上下文。执行前还须提供两个不同的既有客户：主客户使用 `CHONGCHONG_ACCEPTANCE_CUSTOMER_ID` 与 `CHONGCHONG_MERCHANT_USERNAME/PASSWORD`，第二客户使用 `CHONGCHONG_ACCEPTANCE_SECONDARY_CUSTOMER_ID` 与 `CHONGCHONG_SECONDARY_MERCHANT_USERNAME/PASSWORD`；缺任一项在取证及造数前停止。通过 `CHONGCHONG_ACCEPTANCE_FLEET_RESOURCES`（车辆/司机 ID 组合数组）配置复用资源。灰度页面样本入口沿用同一客户配置，私有交接文件保存已配置且登录成功的既有账号；允许客户有历史库存及历史业务列表，本轮入库按原来货码、余额和实际位置核对。直接合同 `fleet-capacity-pool-gray.test.mjs` 验证环境隔离、品牌门禁和复用范围；原 TEST CLI 仍拒绝 GRAY。本入口不部署、不写业务 SQL，不将专项通过冒充全部页面验收。
 
-拼车主入口 `fleet-capacity-pool-test-env.mjs` 除两笔真实履约订单外，还各创建一笔本土散板/卡车的“已确认、未登记来货”取消样本，核对商业单与预订同步取消、三维容量恢复和原键重放；增加来货后取消/实收超量拒绝、绑定后占位转计划不双扣、事实失效须重新核对并显式恢复，以及跨销售写入/跨客户商业单拒绝。正常链通过拼车专属 `save-and-confirm`、`fulfillment`、`incoming`、`receipt-confirmation` 和 `arrange-dispatch` 接口验证简化操作及原命令重放，不再以脚本手工建排车再绑定代替自动关联；另建精确履约权限账号，验证仅有拼车管理权限不能安排来货、确认实收或生成排车，销售仅能读取本人履约。拒绝动作须回查原事实与库存不变，不能仅按错误码判定通过；不注入业务数据库故障。
+拼车主入口 `fleet-capacity-pool-test-env.mjs` 除两笔真实履约订单外，还各创建一笔本土散板/卡车的“已确认、未登记来货”取消样本，核对商业单与预订同步取消、三维容量恢复和原键重放；增加来货后取消/实收超量拒绝、绑定后占位转计划不双扣、事实失效须重新核对并显式恢复，以及跨销售写入/跨客户商业单拒绝。正常链通过拼车专属 `save-and-confirm`、`fulfillment`、`incoming`、`receipt-confirmation` 和 `arrange-dispatch` 接口验证简化操作及原命令重放，不再以脚本手工建排车再绑定代替自动关联；复用精确履约权限账号，验证仅有拼车管理权限不能安排来货、确认实收或生成排车，销售仅能读取本人履约。拒绝动作须回查原事实与库存不变，不能仅按错误码判定通过；不注入业务数据库故障。
 
-`fleet-capacity-pool-ui-fixture-test-env.mjs` 仅准备内部拼车池TEST页面验收数据，默认 `--plan` 零网络；实际命令沿 `--execute --environment TEST --run-id <新批次> --warehouse-id <实际海外仓ID> --destination-warehouse-id <目的仓ID>`，另必须显式传 `--private-credentials-file <用户.codex/env/chongchong-global目录直接子级的独占JSON绝对路径>`。通过明确TEST环境文件读取CHONGCHONG_ADMIN及Jenkins只读取证配置，创建两客户真实来货和计划车次、OPEN发布、两销售各12条不占位草稿及最小调度账号；停在可交互状态，不确认承运、不拣货发车、不声称全量验收。密码只在首次写入前独占创建的私有文件中保存，报告 `reports/fleet-capacity-pool-ui-<新批次>/` 不含密码/Token；失败保留现场和原请求，不自动重跑。退出脚本会话并停用自有fixture PDA，保留UI账号供浏览器验收；不部署、不写业务SQL、不删除业务样本。离线安全与作用域合同为 `fleet-capacity-pool-ui-fixture-test-env.test.mjs`。
+`fleet-capacity-pool-ui-fixture-test-env.mjs` 仅准备内部拼车池TEST页面验收数据，默认 `--plan` 零网络；实际命令沿 `--execute --environment TEST --run-id <新批次> --warehouse-id <实际海外仓ID> --destination-warehouse-id <目的仓ID>`，另必须显式传 `--private-credentials-file <用户.codex/env/chongchong-global目录直接子级的独占JSON绝对路径>`。通过明确TEST环境文件读取CHONGCHONG_ADMIN及Jenkins只读取证配置，复用固定客户、销售及调度账号，创建两客户真实来货和计划车次、OPEN发布、两销售各12条不占位草稿；停在可交互状态，不确认承运、不拣货发车、不声称全量验收。密码只在首次写入前独占创建的私有文件中保存，报告 `reports/fleet-capacity-pool-ui-<新批次>/` 不含密码/Token；失败保留现场和原请求，不自动重跑。退出脚本会话，固定fixture PDA保持原状态，保留UI账号供浏览器验收；不部署、不写业务SQL、不删除业务样本。离线安全与作用域合同为 `fleet-capacity-pool-ui-fixture-test-env.test.mjs`。
 
-`fleet-capacity-pool-test-env.mjs` 是内部拼车需求池 TEST 专项入口，默认 `--plan` 零网络；实际执行须显式 `--execute --environment TEST --run-id <新批次> --warehouse-id <实际海外仓ID> --destination-warehouse-id <目的仓ID>`，凭据由命令前的 `node --env-file=<明确TEST配置>` 提供，配置同时包含 Jenkins 只读取证凭据与 `FBA_CORE_JENKINS_AGENT`。创建隔离客户、销售、调度、预订及商业订单，验证容量争抢、销售隔离、命令重放、两类本土订单实际到仓/PDA收货/共享车次/出库签收和费用唯一；不部署、不写业务SQL。证据保存在 `reports/fleet-cross-<新批次>/`，包含 `pool-scope.json` 和写请求journal；未知结果停止，保留原样本与请求，不覆盖批次、不自动重造数据。结束退出独立会话并沿fixture清理其自有PDA访问，业务样本保留；页面及未覆盖矩阵单独报告，不将专项通过当成全量验收。离线保护由 `fleet-capacity-pool-test-env.test.mjs` 验证。
+`fleet-capacity-pool-test-env.mjs` 是内部拼车需求池 TEST 专项入口，默认 `--plan` 零网络；实际执行须显式 `--execute --environment TEST --run-id <新批次> --warehouse-id <实际海外仓ID> --destination-warehouse-id <目的仓ID>`，凭据由命令前的 `node --env-file=<明确TEST配置>` 提供，配置同时包含 Jenkins 只读取证凭据与 `FBA_CORE_JENKINS_AGENT`。复用两个固定客户及固定销售、调度和履约账号，创建预订及商业订单，验证容量争抢、销售隔离、命令重放、两类本土订单实际到仓/PDA收货/共享车次/出库签收和费用唯一；不部署、不写业务SQL。证据保存在 `reports/fleet-cross-<新批次>/`，包含 `pool-scope.json` 和写请求journal；未知结果停止，保留原样本与请求，不覆盖批次、不自动重造数据。结束退出独立会话并沿fixture清理其自有PDA访问，业务样本保留；页面及未覆盖矩阵单独报告，不将专项通过当成全量验收。离线保护由 `fleet-capacity-pool-test-env.test.mjs` 验证。
 
 `inbound-plan-resource-fault-executor.mjs` 是单柜入仓计划资源确认故障的 TEST 环境执行入口，内部使用 `inbound-plan-resource-fault-runtime.py`。默认 `plan --plan <单柜计划.json>` 零网络；实际动作必须读取明确的TEST/Jenkins外部配置并传 `--confirm-test-runtime yes`。`preflight --routing <私有路由.json>` 只读校验Lastleg与Warehouse Overseas镜像/指纹、实际网络和Nacos common/lastleg配置摘要；`prepare`另要求 `--expected-image <已冻结镜像ID>` 及预检摘要。`activate`只临时改Lastleg的 `baiyue.warehouse.base-url`，配合 `mode --mode CONFIRM_ONCE --ttl 60` 精确注入一次confirm失败；业务转换和关闭重开页面由调用者独立操作，工具没有造数、SQL或业务写接口。`status/health/records`用于观测，结果未知先 `status/reconcile`，禁止因观察超时重复创建容器；`restore/verify-restored/finish`须按原镜像、完整配置/挂载/网络、Nacos及上游健康恢复后才停自有代理、清私有凭据。服务变更先记录意图，受限远端恢复状态目录为 `/tmp/chongchong-inbound-resource-<marker>`，由总控持独占Lastleg故障窗口；调用结果和业务证据另存本次独立 `reports/` 目录，失败保留、不覆盖，不与部署或其他共享业务写入并行。`inbound-plan-resource-fault-executor.test.mjs`、`inbound-plan-resource-fault-runtime.test.mjs` 为离线边界及恢复测试，不证明真实故障已跑通。
 
@@ -112,11 +112,11 @@ F33 分阶段助手的组合换标顺序为 `unit → unit-carton → bind`：
 
 `fba-remaining-nodes-acceptance.mjs` 是 FBA 剩余节点内部证据助手，显式调用 `auditRemainingNodes`，导入不运行；读取指定原报告并按 JSON pointer/SHA-256 保留证据。`live=true` 仅使用明确 TEST 配置的独立 Auth 会话和串行 GET，结束退出；不执行业务写命令、SQL、故障注入、部署或页面操作。报告位于 `reports/fba-remaining-nodes-20261004/`，拒绝覆盖既有报告，失败保留且不自动重试。对应离线测试为 `fba-remaining-nodes-acceptance.test.mjs`，只读核验不等于原业务已完成。
 
-`fba-remaining-nodes-acceptance-pda-operator.mjs` 是 F33 海外 PDA 的一次性 TEST 账号准备助手，导入不运行。显式调用 `createF33PdaOperator({env, credentialFile, reportFile})`，凭据来自已授权 TEST 环境；仅通过正式 IAM API 创建独立洛杉矶仓作业员、授予已存在的海外 PDA 角色并验证登录/仓绑定，不改角色权限或旧账号，不操作库存。随机凭据仅写入调用方指定的仓库外环境文件，报告建议保存 `reports/fba-remaining-nodes-20261004/pda-operator/`，不包含密码或 Token；已有文件、请求未知结果或首次强制改密均停止，禁止自动重造。退出自有管理员/PDA会话，账号保留供页面验收，报告给出精确停用接口，清理由总控在验收结束后执行。
+`fba-remaining-nodes-acceptance-pda-operator.mjs` 是 F33 海外 PDA 的一次性 TEST 账号准备助手，导入不运行。显式调用 `createF33PdaOperator({env, credentialFile, reportFile})`，凭据来自已授权 TEST 环境；从显式 `CHONGCHONG_ACCEPTANCE_PDA_ACTORS` 复用已有洛杉矶仓作业员，只读核对成员、启用角色和仓绑定，再验证登录，不改角色权限或旧账号，不操作库存。已配置凭据仅写入调用方指定的仓库外环境文件，报告建议保存 `reports/fba-remaining-nodes-20261004/pda-operator/`，不包含密码或 Token；已有文件、请求未知结果或首次强制改密均停止，禁止自动重造。退出自有管理员/PDA会话，固定账号保持原状态供页面验收，报告只交接本轮会话退出结果。
 
 `fleet-same-route-cost-test-env.mjs` 是同路线自有/外接实运成本分摊的串行TEST入口，默认`--plan`零网络；执行参数为`--execute --environment TEST --run-id <新批次> --warehouse-id <实际海外仓ID> --destination-warehouse-id <FBA目的仓ID>`，凭据仅通过显式TEST/Jenkins环境文件及`FBA_CORE_JENKINS_AGENT`提供。两新客户普通来货/PDA实收/客户确认各一托一箱，共用一张原生排车；真实外接预订、来货和运营确认实收后加到原主单，三托统一目的站，零扫码退回后重新两审、按各客户实拣、实际装载、平台逐组安排，再以当前版本整车发车。登记USD1.00合成成本，以不可变DEPART实测托位核对两条业务分摊：OWN按本张排车单汇总两实托，EXTERNAL按真实booking业务号计外接实托，两行共用同一dispatchNo。实际容量2:1时为0.67/0.33，非单位容量按实际比例及业务号顺序分配最大余数，不按托盘个数或预设比例替代。保留每客户来源、库存/SHIP、原币分币守恒、成本创建重放与唯一历史，逐派送单去重签收、正式结案并分别释放车辆/司机。不写业务SQL、不部署、不操作财务付款。报告沿`reports/fleet-cross-<新批次>/`，增加`same-route-source.json`和`createdResources.fleetSameRouteCost`；显式SAME_ROUTE_COST校验域要求本轮marker、排车、车次及原proof一致，不能借跨客户或容量池结果结案。失败保留原请求/样本、停止且不自动重跑，缺实测先阻断，finally停用自有PDA并退出会话。`fleet-same-route-cost-test-env.test.mjs`验证错误来源/目的地/冻结依据/分币及零网络计划；真实HTTP与页面结论分别记录。
 
-`fleet-booking-quotes-test-env.mjs` 是外接预订选用销售报价的独立 TEST HTTP 验收入口，使用显式 `node --env-file=<用户指定目录的test-acceptance.env>` 和 `--ready-commit=a6fd0ba3`，执行前须由总控核对实际部署版本与健康。只读公共仓城市/时区，创建自身全新隔离客户、销售报价及未分配资源的车次/询价草稿；验证候选日期/币种/计价、零价与缺价、手填价格、陈旧版本拒绝、刷新重选及来源快照，不创建库存、不发车、不证明承运成功或实收完成。请求前持久留证、敏感字段脱敏、未知结果停止且禁止自动重跑，独立登录并退出；保留自己的计划/报价/草稿，不删除资源。当前固定R2标识，独占报告 `reports/fleet-booking-quotes-live-20261003-r2/`。离线合同 `fleet-booking-quotes-test-env-contract.test.mjs`，运行前仍须总控放行对应健康版本。
+`fleet-booking-quotes-test-env.mjs` 是外接预订选用销售报价的独立 TEST HTTP 验收入口，使用显式 `node --env-file=<私有配置目录/test/acceptance.env>` 和 `--ready-commit=a6fd0ba3`，执行前须由总控核对实际部署版本与健康。只读公共仓城市/时区，创建自身全新隔离客户、销售报价及未分配资源的车次/询价草稿；验证候选日期/币种/计价、零价与缺价、手填价格、陈旧版本拒绝、刷新重选及来源快照，不创建库存、不发车、不证明承运成功或实收完成。请求前持久留证、敏感字段脱敏、未知结果停止且禁止自动重跑，独立登录并退出；保留自己的计划/报价/草稿，不删除资源。当前固定R2标识，独占报告 `reports/fleet-booking-quotes-live-20261003-r2/`。离线合同 `fleet-booking-quotes-test-env-contract.test.mjs`，运行前仍须总控放行对应健康版本。
 
 `deploy/scripts/run-ci-maven.sh` 是 Linux Jenkins 的受限 Maven 构建入口，不部署、不访问业务数据库、不安装依赖。总控及单服务 Job 共用 `firstleg-test-maven` 锁；同一构建账号另用 `$HOME/.cache/chongchong-ci/maven.lock` 文件锁，已有本机持锁任务时失败退出，不删除锁文件或杀其他进程。入口禁止 `-T/--threads`，固定 Maven 堆768MiB、元空间256MiB、直接内存128MiB，启用根POM `ci-bounded`：单个测试JVM、堆1GiB、元空间384MiB、直接内存128MiB，保留JaCoCo迟绑定；OOM快速退出，父进程丢失检测、停止时kill、单测试JVM20分钟上限。独立于Jenkins连接的本机GNU timeout在45分钟后TERM、30秒后KILL进程组，流水线另设50分钟超时；缺少flock/timeout/mvn直接失败。构建输出及Surefire报告沿现有Jenkins归档；失败先确认原进程退出再重跑，不自动清理缓存。该预算不等于总RSS硬限额，代理本身和JVM原生内存仍需保留余量；节点执行器应设为1、保持systemd control-group清理，并在真实Linux节点验证峰值。`ci-maven-resource-contract.test.mjs` 检查双入口接线、参数拒绝/失败传播和子JVM配置，Shell替身检查不代替Linux实际锁与信号验收。
 
@@ -134,7 +134,7 @@ F33 分阶段助手的组合换标顺序为 `unit → unit-carton → bind`：
 
 `fleet-quotes-test-env.mjs` 是独立报价TEST验收入口：显式使用 `node --env-file=<用户指定目录的test-acceptance.env> scripts/fleet-quotes-test-env.mjs --ready-commit=a6fd0ba3`，仅在总控确认匹配服务健康后执行。使用独立登录和本轮客户/供应商/报价，不借其他任务会话；固定marker为`FLEET-QUOTE-20261003`，报告目录`reports/fleet-quote-live-20261003`独占。登录、客户前置和业务请求均由脱敏持久化日志包裹，发送前fsync原请求/幂等键与文件样本引用；结果未知停止业务，保留原样本，拒绝自动重跑/续跑/覆盖。结束退出独立会话，不执行SQL、部署或库存操作。该入口只证明报价范围，运营统计仍须本轮真实DEPART及独立预期，见模块README。
 
-`fleet-company-cost-test-env.mjs` 是公司车辆成本独立 TEST 验收入口，复用 Admin HTTP 客户端但不展开其他业务模块或复用其会话/样本。须在脚本前显式 `node --env-file=<用户指定目录的test-acceptance.env>`，并在总控确认服务就绪后传入 `--ready-commit=8700fc34238bc33339351c73c15f3af8de8ce517`。固定 marker 为 `FLEET-COST-20261003`，报告为 `reports/fleet-cost-live-20261003/api-report.json`；既有报告拒绝覆盖重跑。只创建本任务供应商、车辆、维修/救援、公司费用与合成付款凭证；不操作库存、不创建客户或客户费用、不修改共享汇率。客户费用池只读检查本 marker 来源未误入；不借用其他客户进行成本明细或账户查询，不保存其他客户数据。请求前落盘原内容及幂等键，失败保留证据；结束退出本任务会话、停用本任务车辆，不删除数据。真实执行仍须本轮 TEST 授权及服务就绪；离线检查见 `admin-test-env-modules/fleet-company-cost-acceptance-contract.test.mjs`。
+`fleet-company-cost-test-env.mjs` 是公司车辆成本独立 TEST 验收入口，复用 Admin HTTP 客户端但不展开其他业务模块或复用其会话/样本。须在脚本前显式 `node --env-file=<用户指定目录的test-acceptance.env>`，并在总控确认服务就绪后传入 `--ready-commit=8700fc34238bc33339351c73c15f3af8de8ce517`。固定 marker 为 `FLEET-COST-20261003`，报告为 `reports/fleet-cost-live-20261003/api-report.json`；既有报告拒绝覆盖重跑。必须通过该环境文件中的 `CHONGCHONG_ACCEPTANCE_COMPANY_COST_RESOURCES` JSON 对象配置既有 `supplierId` 与 `vehicleId`；只读核验启用的平台海外拖车供应商、海外自有在役车辆，缺配置或身份不符直接阻断，不创建或停用主档。只创建本任务维修/救援、公司费用与合成付款凭证；不操作库存、不创建客户或客户费用、不修改共享汇率。客户费用池只读检查本 marker 来源未误入；不借用其他客户进行成本明细或账户查询，不保存其他客户数据。请求前落盘原内容及幂等键，失败保留证据；结束退出本任务会话，复用供应商与车辆保持原状，不删除数据。真实执行仍须本轮 TEST 授权及服务就绪；离线检查见 `admin-test-env-modules/fleet-company-cost-acceptance-contract.test.mjs`。
 
 `fee-void-recovery-test-env.mjs` 是费用作废确认响应丢失的 TEST 专项入口，默认 `--plan` 零网络。执行须显式传入 `--execute --environment TEST --run-id <新批次> --customer-id <测试客户ID> --control-customer-id <另一测试客户ID> --warehouse-id <海外仓ID>`，外部 TEST/Jenkins 配置及 `FBA_CORE_JENKINS_AGENT` 提供凭据与取证节点。创建一条新仓储服务应收，经提交审核和原发布确认后，对该来源版本的 VOIDED 事件注入 ACK 丢失；原事件 DEAD 后受保护重试，核对最终作废、同命令重放、另一客户费用与完整库存不变。不写业务SQL，不使用旧费用作废；故障窗口会临时重建同镜像 Lastleg，禁止并行发布或其他共享环境写入。报告在 `reports/fee-void-<新批次>/`，请求前保存意图，失败保留样本，不自动重跑或覆盖；finally 恢复原服务、停止代理并退出会话，恢复未证明则失败。`fee-void-recovery-test-env.test.mjs` 是离线编排与失败清理检查，不能代替真实环境结果。
 
@@ -293,9 +293,9 @@ Client 全量、Client 入库测量与计费、待审核订单和批量待分柜
 测量审核页面准备使用 `--modules inbound-measurement --prepare-measurement-review true --output <独立报告>`，环境和凭据沿用本入口显式配置；会创建本轮订单与测量证据并提交待审，不审核通过。仅允许 TEST 单票最小依赖，不能混用其他准备模式或后续模块；报告标注 `MEASUREMENT_REVIEW_UI_FIXTURE/fullAcceptance=false`，失败保留数据，不自动重试或清理。具体样本字段见模块说明。
 
 
-`admin-test-env-acceptance.mjs --environment gray` 显式支持临时灰度环境，当前仅开放 `--modules phase5-root-fulfillment` 及自动展开的本轮客户资质 fixture。该链会通过正式 HTTP 新建隔离客户、两箱根订单及分柜子来源，推进国内测量、装柜、报关、人工船节点、海外收货、排车、出库和签收；不是默认全量验收。默认全量中包含 TEST 专用故障注入和未经灰度副作用核对的模块，因此 gray 拒绝省略模块、附加模块、批量订单和卸柜故障开关，也不会创建 TEST fault executor。`--f40-tax-mode TAX_REFUND` 覆盖退税文件确认链；真实邮件和供应商自动查询不在此闭环的完成声明中。
+`admin-test-env-acceptance.mjs --environment gray` 显式支持临时灰度环境，当前仅开放 `--modules phase5-root-fulfillment` 及自动展开的本轮客户资质 fixture。该链通过正式 HTTP 复用指定既有 ACTIVE 客户，创建两箱根订单及分柜子来源，推进国内测量、装柜、报关、人工船节点、海外收货、排车、出库和签收；不是默认全量验收。默认全量中包含 TEST 专用故障注入和未经灰度副作用核对的模块，因此 gray 拒绝省略模块、附加模块、批量订单和卸柜故障开关，也不会创建 TEST fault executor。`--f40-tax-mode TAX_REFUND` 覆盖退税文件确认链；真实邮件和供应商自动查询不在此闭环的完成声明中。
 
-明确的仓库外环境文件须配置 `ADMIN_GRAY_GATEWAY`（统一 HTTPS 源站，不带 `/api`）、`ADMIN_GRAY_USERNAME`、`ADMIN_GRAY_PASSWORD`、`ADMIN_GRAY_PDA_USERNAME`、`ADMIN_GRAY_PDA_PASSWORD`；可选 `ADMIN_GRAY_CUSTOMER_NAME`。gray 不读取 TEST Gateway、管理员或 PDA 凭据。F40 始终创建本轮客户，不需要传已有 merchant 账号。数据库只读取证使用 `JENKINS_URL`、`JENKINS_USER`、`JENKINS_API_TOKEN` 及 Jenkins 已登记的 production SSH/host/known-hosts/env 凭据，由 `gray-regression-evidence.mjs` 实现，不调用 TEST agent 或写业务 SQL。
+明确的仓库外环境文件须配置 `ADMIN_GRAY_GATEWAY`（统一 HTTPS 源站，不带 `/api`）、`ADMIN_GRAY_USERNAME`、`ADMIN_GRAY_PASSWORD`、`ADMIN_GRAY_PDA_USERNAME`、`ADMIN_GRAY_PDA_PASSWORD`、`ADMIN_GRAY_FIXED_CUSTOMER_ID`、`MERCHANT_GRAY_USERNAME/PASSWORD`；固定客户编号也可显式传 `--fixed-customer-id`。排车资源沿 `ADMIN_GRAY_FLEET_RESOURCES` 配置既有车辆司机组合。gray 不读取 TEST Gateway、客户、管理员或 PDA 凭据，客户配置缺失、归属错误或非 ACTIVE 时停止，不自动建客。数据库只读取证使用 `JENKINS_URL`、`JENKINS_USER`、`JENKINS_API_TOKEN` 及 Jenkins 已登记的 production SSH/host/known-hosts/env 凭据，由 `gray-regression-evidence.mjs` 实现，不调用 TEST agent 或写业务 SQL。
 
 运行前核对国内 PDA 绑定仓与 `--origin-warehouse-name` 一致，且目标环境已有有效渠道报价、订舱代理、库位/托盘及业务月份 ACTIVE 的 USD→CNY 月度汇率。汇率归 Lastleg `master-data/exchange-rates`，只读月份筛选为 `monthFrom`/`monthTo`；缺少时派送费用发布会被明确拒绝，脚本不自行沿用上月或修改共享汇率。海外 PDA 则从本轮两柜实际尾程来源解析唯一接柜仓，不按仓库列表顺序选择。
 
@@ -639,3 +639,7 @@ Admin 全量中的 `phase4-cross-region-events` 使用内部 `test-event-fault-e
 `db/warehouse-transfer-consolidated-incremental-20261015.sql`：仓储转运近期本地增量汇总，固定 `USE baiyue_lastleg`，适用已有 Lastleg 基线的本地/开发 MySQL 8。依次合入 `warehouse-transfer-outbound-incremental.sql` 和 `warehouse-transfer-carton-counting-incremental.sql`，前者已覆盖旧 `dev-warehouse-transfer-pallet-lifecycle-incremental.sql`，无须重复跑旧生命周期补丁。包含审核、打托/照片、换标、目的地/出库/派送结构、实收箱数，以及逐箱尺寸、重量、实点件数、清点幂等、差异原因、箱所属托盘和独立 SKU 申报件数。只执行 DDL/元数据查询，无业务 DML；不回填单据或修改库存。实例和凭据由操作者在数据库客户端外部提供，无内置连接信息或报告文件。需支持 DELIMITER 和 CREATE ROUTINE/ALTER/INDEX 权限，整文件串行执行，遇错停止，不使用 --force；可按缺失结构检查重复执行，不修复任意同名异构旧表。末尾 `missing_carton_and_quantity_columns=0`、`inbound_pallet_unique_index=READY`、`migration_result=WAREHOUSE_TRANSFER_RECENT_SCHEMA_READY` 表示本轮列/索引核对通过；同客户重复托盘号会报告 INDEX_BLOCKED，不擅自更改旧托盘号。仅整理文件不表示目标库已经执行；连接必须由操作者明确选中，不重放 `deploy/sql/海外区域统一增量-MySQL8.sql` 空库基线。
 
 `db/warehouse-transfer-carton-multi-sku-incremental.sql`：固定指向 `baiyue_lastleg`，按列存在性检查新增 `ll_warehouse_transfer_carton.sku_items_json`（JSON），保存同一实收箱的多个预报 SKU 及逐项件数。可重复执行，不更改或回填既有单据；需在启用新版转运清点后端前执行。
+
+固定角色/账号统一配置：TEST 使用显式环境文件中的 `ADMIN_TEST_FIXED_ACTORS` JSON 对象，GRAY 通用入口使用 `ADMIN_GRAY_FIXED_ACTORS`，GRAY 拼车和页面样本使用 `CHONGCHONG_ACCEPTANCE_FIXED_ACTORS`，不跨环境借用。槽位和字段见模块索引 `fixed-test-actors.mjs`；密码仅留在私有环境文件及明确的私有页面交接文件中。GRAY PDA 账号通过 `CHONGCHONG_ACCEPTANCE_PDA_ACTORS` 传递到专用入口（通用入口为 `ADMIN_GRAY_PDA_ACTORS`）；只读核验并复用已有仓绑定账号。当前 Admin HTTP 客户端拒绝 POST 新增角色、账号、权限和供应商，所有上下文均不例外。角色权限不足、账号停用或供应商缺失均停止，不自动创建、启用、重置或扩大权限。拼车 HTTP 和成本探针完成后仅退出会话；页面固定账号保留原状态，不停用。
+
+本机 `local-dispatch-transport-acceptance.mjs`、`local-transfer-pickup-acceptance.mjs` 也只复用配置的平台账号和 `LOCAL_TRANSFER_PDA_USERNAME/PASSWORD`，不再补权限、创建操作员角色或PDA账号；权限不足即停止。Client HTTP 客户端同样拒绝新增客户角色、成员与权限。