保存今天的修改

docs/plans/2026-11-02-database-maintenance.md

@@ -0,0 +1,16 @@
+# 数据库升级与备份实施计划
+
+目标：保留当前账号、订单和聊天数据，完善升级前快照、版本记录、在线备份、每日备份及离线恢复。
+
+技术方案：现有幂等建表逻辑保留为基线迁移，新增 `schema_meta` 记录版本；每次已有数据库启动校验前创建完整性校验过的快照。迁移在同一 SQLite 写事务内执行，失败回滚并拒绝启动。备份采用 SQLite backup API、临时文件及原子发布。应用运行期间每天北京时间跨日检查一次；失败记录日志并重试。恢复仅提供离线 CLI，要求显式声明服务已停止，先保护当前库，再从已校验快照恢复。
+
+- [x] 编写升级顺序、回滚、损坏文件、WAL、并发及恢复测试，确认旧实现失败。
+- [x] `logistics_chat/database_backup.py` 实现快照、校验、保留策略、每日任务和恢复。
+- [x] `logistics_chat/db.py` 抽取现有建表逻辑，版本化事务升级、失败保护；启动工厂接入每日任务。
+- [x] `scripts/db_maintenance.py` 提供 backup/daily/list/check/restore，支持独立目录及服务器路径。
+- [x] 更新配置、维护文档和模块导航，使用临时数据验证恢复，不恢复真实业务库。
+- [x] 运行相关测试和全量回归，复核后交付；不提交 Git，不推送。
+
+验收：升级前快照包含升级前结构；备份失败不改库；迁移失败不留下半升级结构；拒绝未来版本；备份包含 WAL 中已提交记录；坏快照不可恢复；恢复前保留现有库；重复启动不丢数据；每日任务不依赖请求访问。
+
+验证结果：存储与维护 27 项测试通过，全套 208 项测试通过（14 项 Linux 专用测试在 Windows 跳过）；真实本机数据库副本升级演练保留账号密码和业务数量。人工备份和完整性检查已在本机成功运行，真实库未执行恢复。复核发现的 WAL 临时边车清理、恢复 checkpoint、版本步骤完整性与 7 日期保留边界均已补测试修正。

docs/plans/2026-11-02-offline-tickets.md

@@ -0,0 +1,42 @@
+# 离线留言处理
+
+用户已确认采用留言领取、负责人、处理备注和待处理／处理中／已完成三种状态。
+
+实现与验证顺序：
+
+- [x] 增加隔离数据库接口测试：旧数据迁移、登录与 CSRF、并发领取、负责人限制、备注与完成、版本冲突和分页。
+- [x] 数据库升级至版本 2；迁移前沿用已校验快照和最近 5 份保留规则。增加负责人账号与姓名、备注、更新时间、完成时间和并发版本。
+- [x] 新增 ticket_service，业务路由保持客户提交接口及留言列表默认返回数组的契约；新增后台领取和更新接口。
+- [x] 后台服务资料增加状态筛选、留言详情、领取、保存备注、完成及加载更多；只有当前负责人可处理，已完成只读。
+- [x] 前端沿用后台请求超时、CSRF 和登录失效处理；轮询不覆盖草稿，旧响应不覆盖新选择，冲突明确提示并保留草稿。
+- [x] 执行接口、前端与全套回归；在临时数据库和客服账号上做桌面、手机浏览器验证。
+
+验证：218 项 unittest 通过，14 项 Linux 测试跳过；admin 前端 31 项通过（含延迟列表响应、写请求超时与备注保留）。Playwright 临时服务在 1440／390／320px 验证真实登录、领取、负责人、备注轮询保留、保存、完成和刷新后的持久记录，未发现脚本错误或横向溢出。
+
+独立审查无阻塞问题；另补 SQLite 64 位编号与游标范围校验，相关 8 项留言接口测试通过。临时浏览器和测试服务已关闭，真实服务未启动或重启。
+
+## 后续：新留言提醒和搜索（用户确认预览后实施）
+
+- [x] 顶部待处理数量入口及页内新留言提示；独立 summary 轮询，首次建立基线，新记录去重提醒。浏览器后台通知复用既有铃铛权限，不包含客户内容。
+- [x] 数据库按手机号、内容、负责人账号／姓名、备注搜索；保留列表数组契约，搜索可组合状态与分页，转义 LIKE 通配符。
+- [x] 真实浏览器验证新留言到达、搜索与全局数量、领取后数量更新、无结果状态、直达入口和键盘焦点。独立审查无阻塞问题，修正入口焦点落在加载期间被禁用按钮的问题。
+- [x] 全套 222 项 unittest 完成（14 项 Linux 测试跳过）；34 项 admin 前端测试通过，含中文输入法 Enter、独立提醒和分页搜索。桌面 1440px、手机 390／320px 无横向溢出，截图保存于 output/playwright/。
+
+本次不变更数据库结构，无需新增迁移版本；正式服务未启动或重启。
+
+## 本轮：处理记录和超时提醒
+
+- [x] 数据库升级至版本 3：增加领取时间、领取时间估算标识及只追加的留言事件；提交、领取、备注前后值、完成结果与状态变更在同一事务记录。
+- [x] 旧留言保留升级时状态快照，不伪造既有过程；旧处理中留言以规范有效的最后更新时间估算领取时间并明确标识。
+- [x] 增加全局超时统计和筛选：待领取超过 30 分钟、处理中超过领取后 2 小时；备注修改不重置时钟，完成后清除超时。
+- [x] 后台展示超时入口、筛选、详情超时说明及按时间排序的可分页处理记录；历史加载失败可重试且不阻塞留言处理。
+- [x] 修复并测试无效旧日期在超时筛选、数量与详情中的一致性；独立只读审查未发现 Critical／Important 问题。
+- [x] 17 项离线留言后端测试、38 项后台前端测试通过；完整 unittest 228 项通过、14 项按平台跳过，`git diff --check` 通过。Playwright 已验证桌面及 390／320px 手机宽度无横向溢出、记录刷新后保留、完成清除超时。
+- [x] 后续将待领取阈值调整为 30 分钟（处理中仍为 20 分钟），并更新边界测试和用户说明。
+- [x] 人工排队超过 5 分钟后标红显示超时分钟数，队列标签显示超时数；首次进入超时时去重提醒。34 项接口测试、39 项后台前端测试及全套 229 项 unittest（14 项按平台跳过）通过；浏览器验证 1440／390／320px 无横向溢出。
+
+截图：`output/playwright/ticket-history-success.png`、`ticket-history-mobile-success.png`、`ticket-history-completed-success.png`、`ticket-overdue-success.png`。浏览器使用临时数据库和本地测试客服，测试服务已停止；正式服务未重启，升级真实数据库会在下次常规启动时执行。
+
+人工排队截图：`output/playwright/human-queue-overdue-success.png`、`output/playwright/human-queue-overdue-mobile-success.png`。浏览器使用临时数据库和测试客服；测试服务已停止。
+
+不变更真实客服账号、客户数据，不自动启动正式服务，不提交 Git。

docs/plans/2026-11-02-staff-sessions.md

@@ -0,0 +1,17 @@
+# 后台登录会话实施计划
+
+已确认范围：保留现有客服账号密码；后台会话有效期 8 小时；保护后台页面及接口；增加退出按钮；客户登录独立；保留 Nginx 保护。
+
+1. 先加入未登录、退出、过期、密码变更、CSRF、凭证重放测试，确认原实现不能满足要求。
+2. 新增 `staff_service.py` 和仅存凭证摘要的 `staff_sessions` 表，统一默认拒绝规则、登录限速及 Cookie 签发/撤销。
+3. 工作台加入退出按钮、CSRF 请求头、401 跳转和轮询停止；保留原账号验证兼容行为。
+4. 既有后台测试通过真实登录获取会话，公共客户测试保持独立。更新文档，运行全套测试。
+5. 使用临时数据库和临时端口验证浏览器登录、退出、过期及移动端布局，关闭测试服务，不启动原本已停止的 5000 服务。
+
+实现及复核：已加入服务端会话、CSRF、退出与过期处理；账号删除、更新及 SQLite REPLACE 均撤销旧凭证。后台登录限速按账号与连接来源组合计算，避免同一代理下账号互相锁定。
+
+验证：全套 unittest 187 项，14 项 Linux 专用测试跳过；前端包含 26 项工作台测试。临时服务使用独立数据库，通过真实浏览器登录、退出失败重试、旧 Cookie 重放及过期跳转；320、390、1440px 布局无横向溢出，退出触控高度 44px。测试服务已关闭，5000 未启动。
+
+用户后续调整：后台取消 8 小时限制，改为持续登录直到主动退出；改密、删除账号仍撤销凭证。Cookie 按浏览器支持的 400 天上限持久保存并在后台请求成功时续期，服务端凭证不按时间失效。启动时将仍有效的旧会话迁移为无限期，已经失效的会话删除，不恢复旧凭证。客户登录的 8 小时规则保持独立。
+
+最新用户调整：后台登录改为从登录成功起 24 小时绝对有效，Cookie 同步设置 86400 秒；后台请求和服务重启均不续期。旧无限期会话无法确定签发时间，升级时撤销并要求重新登录；有效的有限期会话保留原期限，已失效会话不恢复。退出、改密及删除账号继续即时撤销。