海外仓业务/README.md

@@ -85,10 +85,11 @@
 - 尾程订单人工节点固定为国内报关完成、预计/实际开船、预计到港、国外清关完成、实际到港等待卸船、预约提柜和卸柜八行完整快照。第一次保存后该订单永久使用 `MANUAL` 来源，读取和页面展示不得再回退柜级节点，也不得反向修改货柜船节点。
 - 目的港码头拖车归 Firstleg 货柜聚合：平台从 Warehouse `ACTIVE + TRUCKING` 供应商中选择车队，依次记录预约提柜、实际提柜和实际还柜；实际提柜/还柜同时复用标准船节点服务写入 `PICKED_UP`/`EMPTY_RETURNED`。海外卸柜完成后由服务端以 `unloadingCompletedAt + 72h` 计算还柜截止时间和超时天/小时，Admin 只展示服务端预警，不在浏览器重复计算。
 - 手动还柜以真实海外卸柜完成且尚未还柜为准，仍校验独立还柜权限；无需事先存在车队、预约或提柜时间。首次命令使用版本 0 创建拖车记录，车队字段可为空，不补造提柜事实。还柜时间不得早于卸柜完成时间或已有提柜时间，成功后同步标准还柜节点并解除报空预警。
-- 船节点是头程海运在途事实与海外接柜之间的衔接能力，业务聚合继续由 Firstleg 持有；到港/可提柜结果通过明确契约或跨区域事件提供给海外区域，不复制第二套轮询任务。
+- 船节点是头程海运在途事实与海外接柜之间的衔接能力，业务聚合继续由 Firstleg 按 `containerBookingId` 柜级持有，不绑定客户；跨区域事件使用 `tenantId=0` 平台技术范围，到港/可提柜结果通过明确契约提供给海外区域，不复制第二套轮询任务。
 - Admin、Client 仍使用统一账号体系，并按根 `AGENTS.md` 的双区域 API、海外 Token 和跨区域事件约定接入；业务页面不自行实现第二套登录。
 - 海外仓 PDA 使用独立 `apps/pda-overseas-uniapp/` 工程和发布身份，但账号仍由国内 Auth 唯一签发；真实作业请求必须经海外 Gateway 的显式 PDA 路由。工作台只展示已注册并启用的现场作业，其他业务通过 Admin/Client 完成，不以某个终端是否承载全部操作判断端到端流程是否完成。
 - 海外 PDA 的实际收货仓是国内 `warehouse-service` 中 `tenant_id=0`、类型为 `OVERSEAS`、状态 `ACTIVE` 且启用 `RECEIVING` 能力的平台共享物理仓，并由 `WAREHOUSE_PICKER` 的 Token Claim 固定；海外数据库只保存相同 `warehouseId` 引用。PDA 不接收仓库 ID，也不能切换柜号。海外 Gateway 对每个 `/api/pda/**` 请求在本地验签后向 Auth 实时核对账号 `token_version` 与当前仓绑定，换仓或清空绑定后旧 Token 立即失效，Auth 不可用时拒绝请求。待收柜在首次准备时原子认领到该仓，入仓计划、尾程订单和收货会话冻结实际仓 ID/名称；国内装柜事件的仓库仅作为来源仓快照，目的仓/FBA 仓也不得冒充实际收货仓。
+- 海外 PDA 接柜候选、认领会话、三类照片与整柜完成均按 `sourceContainerBookingId + containerNo` 聚合，不保存客户并允许同柜多个客户。签收后为柜内每个计划按其自身客户生成任务；入仓码解析、SKU 实收、托盘占用和库存入账继续按该票真实客户隔离，整柜完成需全部计划核平且只发布一次柜级完成事件。
 - 新增实际代码模块、API、权限、OpenAPI 或数据库入口后，同步更新根 `AGENTS.md`、对应应用/服务 `AGENTS.md` 和本文件；不把排期、完成比例或临时任务状态写入快速索引。
 
 ## 码头车队邮件

跨区域认证与服务通信契约.md

@@ -44,7 +44,7 @@
 - Lastleg 以 MySQL `ll_security_event_inbox` 和 `ll_security_projection` 为可靠来源：eventId 相同 hash 相同幂等，异 hash 冲突；聚合版本只单调推进，旧版本标记 STALE，同版本异 hash 冲突。Redis 仅为提交后写入的可重建镜像，授权校验不依赖 Redis 默认放行。
 - 海外 Gateway 对全部 `/api/**` 在本地 JWT 验签后，传递 `userId/tenantId/permissionVersion` 到 Lastleg 安全入口。Lastleg 校验通过时返回该版本的角色与海外权限快照，Gateway 清除外部伪造的授权头后，以内部服务令牌保护的可信头传给海外业务服务。业务服务必须同时验证 JWT 和内部服务令牌，不得从 JWT 回退读取完整权限集。用户停用返回 A0401；客户停用或 Token 权限版本不一致返回 A0403；安全投影、SQL 或调用链不可用均 fail-closed。PDA 在此基础上继续执行 Auth 仓绑定实时核验。
 - Auth 的登录、刷新和海外 Token 兑换响应在响应体中返回当前 `roles/authorities` 授权快照；国内与海外 JWT 都只保留主体、客户、成员、应用、版本和海外仓绑定等最小身份 Claim，不携带角色或权限集合。客户端可用响应快照做入口展示或本地前置提示，但每次业务请求的最终授权仍由 Gateway/Lastleg 的实时投影决定；客户端不得再从 JWT 解析角色或权限，也不得把响应快照作为绕过服务端校验的依据。
-- 新客户创建、审核激活以及新用户授权均由 IAM 在业务事务内写初始安全事件。开发阶段不提供历史账号长期 Bootstrap 或兼容入口；固定 `platform_admin` 由 Lastleg 数据库基线初始化 version=0 的 USER 投影，所有既有开发账号（包括 `platform_admin`）必须在部署后由总控按 IAM 当前事实一次性重建 AUTHORIZATION 授权快照，不纳入产品代码。任何缺失投影继续 fail-closed，不能在 Lastleg 运行时代填或默认放行。
+- 新客户创建、审核激活以及新用户授权均由 IAM 在业务事务内写初始安全事件。开发阶段不提供历史账号长期 Bootstrap 或兼容入口；固定 `platform_admin` 由 Lastleg 数据库基线初始化 version=0 的 USER/AUTHORIZATION 投影，其中 AUTHORIZATION 冻结当前 `PLATFORM_ADMIN` 角色及 IAM 跨区前缀下的完整权限集合，空库重建后无需人工补投即可访问海外接口，后续 version>=1 的真实 IAM 事件单调覆盖。其他既有开发账号仍须由总控按 IAM 当前事实一次性重建授权快照；任何缺失投影继续 fail-closed，不能在 Lastleg 运行时代填或默认放行。
 
 ## 修改与验收