优化

scripts/admin-test-env-modules/README.md

@@ -72,7 +72,7 @@
 
 固定客户编排也将 `customers`、`supplemental-boundaries` 明确记为跳过，不运行建客或边界仓库/库位生命周期。Finance 供应商按启用状态与费用类别查询复用，详情变化或无候选时阻断，不补建；海外入仓费用只允许关联本轮 PDA `generatedPlanIds` 内且客户、批次均匹配的计划，禁止回退历史计划。混合报关柜缺第二固定客户时在准备订单和装柜前阻断。
 
-固定客户模式下，默认编排排除 `system`、`master-data`、`notifications`、`pricing`、`phase4-overseas-master-data` 的生命周期写入，报告使用 skipped 和 coverage gap，不计模块通过。海外仓模块复用现有仓及只读资源，缺仓直接阻断；不自动创建库位/托盘。业务订单与履约证据仍按批次创建，不能将历史已完成单据当作本轮新证据。其他业务模块内嵌的权限探针账号及专用业务资源仍可能创建，当前模式不代表零新增数据。
+固定客户模式下，默认编排排除 `system`、`master-data`、`notifications`、`pricing`、`phase4-overseas-master-data` 的生命周期写入，报告使用 skipped 和 coverage gap，不计模块通过。海外仓模块复用现有仓及只读资源，缺仓直接阻断；不自动创建库位/托盘。业务订单与履约证据仍按批次创建，不能将历史已完成单据当作本轮新证据。业务内权限探针必须显式配置固定角色和账号，缺配置即阻断；不允许新增角色、账号、权限或供应商。业务订单与实物履约证据仍会新增。
 
 Admin TEST 入口必须通过显式环境文件配置 `ADMIN_TEST_FIXED_CUSTOMER_ID`（`TEN` 编号或数字 ID）及该客户的 `MERCHANT_TEST_USERNAME`、`MERCHANT_TEST_PASSWORD`。每次先核验账号归属、ACTIVE 状态和尺寸初始化，再复用客户造业务数据；校验失败停止后续模块，不自动建客、重提资质或重置密码。客户创建/归档生命周期明确排除，海外仓储费模块只读核验既有规则，不覆盖固定客户配置。需要第二客户的隔离用例在单客户模式下阻断，不用同一客户替代跨客户验证。该限制不代表这些生命周期或跨客户场景验收通过，也不清理历史客户。
 
@@ -122,13 +122,13 @@ OCR模块必须通过`ADMIN_TEST_OCR_IMAGE`显式指定本轮图片，不依赖
 
 `fleet-trip-cost-acceptance.mjs` 是同轮实际发车后的车次直接成本内部验收助手，由车辆专项入口显式调用 `verifyFleetTripCosts(context, module, tripProof, inputs)`，不独立造车次、不修改IAM。调用方须提供真实DEPART、独立确认的自有/外接逐票托盘及托位预期、仅列表权限和无车次权限两个独立会话，并负责退出；缺前置在成本写入前停止。写入本车次两条成本并更正，最终CNY100.03、USD13.07分别按整数分和真实托位核验分摊，检查重放、历史、权限拒绝后事实不变；公司维修成本不并入。请求意图和响应通过调用方checkpoint脱敏落盘，失败保留原样本/键，不自动重跑、删除或清理。`fleet-trip-cost-acceptance-contract.test.mjs` 为离线合同，不证明真实HTTP已通过。
 
-`fleet-company-cost-acceptance.mjs` 是公司车辆成本内部验收模块，由 `../fleet-company-cost-test-env.mjs` 使用独立 marker 和 TEST 会话调用，不依赖或借用 `financeFullFixtures`。自行创建专用供应商、车辆及维修/救援记录，覆盖 CNY/USD 来源匹配、未付款作废重建、凭证字节、部分/全额付款重放、超付与已付改写拒绝；客户隔离只读检索本 marker 费用未进入客户费用池，不借用其他客户查询明细或账户，避免将其他并行任务的正常变化误判为污染。要求当月已有启用 USD 汇率，缺失则停止，不修改共享汇率。报告和清理边界见脚本根索引；`fleet-company-cost-acceptance-contract.test.mjs` 为离线替身测试，不调用 TEST。
+`fleet-company-cost-acceptance.mjs` 是公司车辆成本内部验收模块，由 `../fleet-company-cost-test-env.mjs` 使用独立 marker 和 TEST 会话调用，不依赖或借用 `financeFullFixtures`。从 `context.options.fixedCompanyCostResources` 读取既有 `supplierId`、`vehicleId`，只读核验供应商平台归属、启用状态及海外拖车类别，车辆须为海外自有在役；缺配置直接阻断，不创建、编辑或停用主档。维修/救援记录仍按本轮创建，覆盖 CNY/USD 来源匹配、未付款作废重建、凭证字节、部分/全额付款重放、超付与已付改写拒绝；客户隔离只读检索本 marker 费用未进入客户费用池，不借用其他客户查询明细或账户，避免将其他并行任务的正常变化误判为污染。要求当月已有启用 USD 汇率，缺失则停止，不修改共享汇率。报告和清理边界见脚本根索引；`fleet-company-cost-acceptance-contract.test.mjs` 为离线替身测试，不调用 TEST。
 
 `fleet-driver-qualification.mjs` 是司机证照专项可选模块，从 `admin-test-env-acceptance.mjs --modules fleet-driver-qualification --output <报告路径>` 执行，凭据由调用者显式 `node --env-file=<授权TEST环境文件>` 提供。经正式API创建两名本轮受控司机、上传非真实证照PNG，验证缺件/审核/打回/重提、30天内提醒、任务结束跨到期日禁止、非必需资质不阻断、关键资料及附件变化重审、旧版本拒绝、附件跨司机归属和历史下载。仅操作本轮司机及文件，不改排车/库存/财务、不执行SQL或部署；成功失败均按最新版本停用本轮司机，保留样本和报告 `createdResources.fleetDriverQualification`。失败重跑使用新样本，原失败证据不改写；该专项不代替整车实际发车链和浏览器验收。
 
 `fleet-vehicle-care.mjs` 是可选车辆运维专项，通过正式入口 `admin-test-env-acceptance.mjs --modules fleet-vehicle-care --output <报告路径>` 执行，不单独运行。仅用于获授权 TEST，凭据由调用者显式 `node --env-file=<指定环境文件>` 提供；复用总入口 gateway/username/password 参数。经正式 API 创建本轮专用车辆，再复用 `vehicle-care.mjs` 验证六类记录、版本、更正历史、照片幂等及跨车隔离；不依赖订单、库存、报价或历史样本。写入仅涉及测试车辆、运维记录和图片；成功/失败均保留报告 `createdResources.fleetVehicleCare` 和样本，finally 读取最新版本停用本轮主车辆，内部助手停用隔离车辆，不删除记录或文件。失败重跑创建新样本，不修改原失败证据；不执行 SQL 或部署。该场景不证明费用已经入账或付款。
 
-`fleet-cross-customer-fixture.mjs` 导出 `createFleetCrossCustomerFixture`，由上述专用 TEST 入口显式调用。默认只返回准备契约；执行时重新核对指定实际收货仓和FBA目的仓，通过正式客户资质、普通转运来货、PDA一托一箱测量/绑定/实收及客户确认生成两套独立本轮货物，再以真实来源一次 Create 建立同一原生排车主单、自动唯一 Fleet 资源记录并完成两级审核，停在 LOADING、零扫码、未生成出库和派送单。每条明细保留其真实客户、来货码、物理托盘和库位，主单不挂客户。客户上下文独立且不覆盖外层客户环境，退出本函数创建的客户会话，PDA启停归外层入口；无外接预订循环依赖、业务SQL、部署或自动恢复。`fleet-cross-customer-fixture-contract.test.mjs` 只证明生成编排及拒绝边界，真实运行另行留证。
+`fleet-cross-customer-fixture.mjs` 导出 `createFleetCrossCustomerFixture`，由上述专用 TEST 入口显式调用。默认只返回准备契约；TEST/GRAY 执行时先要求两个不同的固定客户及其凭据，通过实际登录核验 ACTIVE 归属和尺寸初始化；不创建客户。重新核对指定实际收货仓和FBA目的仓，经普通转运来货、PDA一托一箱测量/绑定/实收及客户确认生成两套独立本轮货物。固定客户允许已有历史库存，完整原始快照逐行验证客户/仓归属后，仅选择本轮来货的余额、位置与流水；再以真实来源一次 Create 建立同一原生排车主单、自动唯一 Fleet 资源记录并完成两级审核，停在 LOADING、零扫码、未生成出库和派送单。每条明细保留其真实客户、来货码、物理托盘和库位，主单不挂客户。客户上下文独立且不覆盖外层客户环境，退出本函数创建的客户会话，PDA启停归外层入口；无外接预订循环依赖、业务SQL、部署或自动恢复。`fleet-cross-customer-fixture-contract.test.mjs` 只证明生成编排及拒绝边界，真实运行另行留证。
 
 `fleet-cross-customer-acceptance.mjs` 是跨客户同一原生排车主单的内部后半链验收函数，不是独立入口。默认只返回 fixture 契约、零网络；显式 `execute:true` 需要同批次两个独立客户、同仓各一托一箱已实收、同一主单已通过两级审核且未拣货，以及调用方提供的完整库存只读取证器。按各明细实际客户扫码，验证一个客户未核平时整车装车/发车拒绝及全部快照不变；全部实拣核平后按实际测量确认装车，在同一次命令自动生成客户目的地单据并发车；按详情 documents 核对真实单据，原键重放和分别签收。实托测量缺失明确阻断，不以计费/计划常量替代。前置门禁与事务中途回滚分别记录；默认后者为 `NOT_TESTED`，只有显式注入`verifyDepartureRollback`且返回精确本轮验证、完整一致性快照恢复相同后才记VERIFIED。专用`../fleet-trip-rollback-test-env.mjs`负责租约/脏读观察与持久化，普通入口不注入故障；钩子异常、未验证或快照漂移必须停止在正常发车前。失败保留当前样本与原请求，不自动续跑、补造或清理。对应合同 `fleet-cross-customer-acceptance-contract.test.mjs` 仅证明编排与反例断言，不能代替真实运行。临时账号生命周期、最小来货生成及报告保存由外层显式编排负责。
 
@@ -198,7 +198,7 @@ OCR模块必须通过`ADMIN_TEST_OCR_IMAGE`显式指定本轮图片，不依赖
 
 退货预报创建后为 `PENDING_REVIEW`。签收前必须通过客户详情确认归属，再经平台 `/return-orders/{returnNo}/review` 携带 `X-Customer-Id` 审核，客户回查 `PENDING_RECEIPT` 且实收为零；审核失败立即停止签收。`return-review-contract.test.mjs` 覆盖归属拒绝、审核权限失败和回查未收敛。主签收场景按单 SKU 分甲3件、乙2件两批，使用正式 PDA 退货托盘生成接口返回的 `palletCode`，不复用国内基础托盘；每批对应一个计费批次。按 `PALLET` 提交每 SKU 箱数和托盘长宽高、重量，总箱数由服务端汇总；主场景验证不上传可选照片仍能完成。边界场景继续验证合成 PNG 上传及合法多 SKU 同托签收，不把图片称为真实现场照片。边界扩展与换标后续仍需按新协议独立验证，主签收通过不能证明全部退货链通过。主链合箱前通过PDA箱内清点接口确认本轮两只实收箱的SKU数量和箱规；签收及部分合箱成功后，换新键提交旧数量快照必须被拒绝，且立即回查订单、批次、箱和SKU均未变化。
 
-`return-boundary-scenarios.mjs` 是退货专项自动调用的内部扩展，不单独注册入口：本轮新建第二隔离客户，复用两个有效海外仓，覆盖跨客户单据/箱/标签/列表隔离、跨仓 PDA 隔离、两人争抢最后一件的签收及合箱、同键并发签收与成功后重试、多单同 SKU 全量合箱和实际来源追溯、耗尽箱清零、多单 SKU 候选和输入边界。异常写入逐次前后回查订单、签收批次、箱及 SKU；同键重试只模拟响应丢失后的客户端行为，不代表网络故障注入。每组并发严格为两个请求，不启动批量 worker；缺少第二仓或操作员属于失败，不能跳过后宣称通过。finally 停用新增 PDA，保留测试客户和业务记录；不触发部署、SQL、换标、出库或二次合箱。真实运行须明确授权目标环境及此小规模并发边界。`merchant-qualification-fixture.mjs` 的内部参数 `publishEnvironment: false` 只将第二客户凭据留在独立内存上下文，不覆盖主客户环境凭据，默认主 fixture 行为不变。
+`return-boundary-scenarios.mjs` 是退货专项自动调用的内部扩展，不单独注册入口：复用已配置的第二个固定客户及两个有效海外仓，覆盖跨客户单据/箱/标签/列表隔离、跨仓 PDA 隔离、两人争抢最后一件的签收及合箱、同键并发签收与成功后重试、多单同 SKU 全量合箱和实际来源追溯、耗尽箱清零、多单 SKU 候选和输入边界。异常写入逐次前后回查订单、签收批次、箱及 SKU；同键重试只模拟响应丢失后的客户端行为，不代表网络故障注入。每组并发严格为两个请求，不启动批量 worker；缺少第二仓或操作员属于失败，不能跳过后宣称通过。finally 退出复用 PDA 会话，仅停用本轮新增 PDA，保留业务记录；不触发部署、SQL、换标、出库或二次合箱。真实运行须明确授权目标环境及此小规模并发边界。`merchant-qualification-fixture.mjs` 的内部参数 `publishEnvironment: false` 只将第二客户凭据留在独立内存上下文，不覆盖主客户环境凭据，默认主 fixture 行为不变。
 
 扩展离线检查：`node --test scripts/admin-test-env-modules/return-boundary-scenarios-contract.test.mjs scripts/admin-test-env-modules/phase4-overseas-return-receipt-contract.test.mjs scripts/admin-test-env-modules/merchant-qualification-fixture-contract.test.mjs scripts/script-documentation-contract.test.mjs`。这些校验验证脚本编排和断言，不代替真实 HTTP 验收；运行报告中的每个失败均保留阻断。
 
@@ -531,7 +531,7 @@ node --test scripts/admin-test-env-modules/fulfillment-prototype-field-matrix-co
 
 ## 清库后的商户下单前置
 
-`merchant-qualification-fixture.mjs` 是默认全量验收的首个模块。它通过平台正式接口创建本轮隔离客户，经 File 上传真实营业执照和法人身份证文件，再走 IAM 提交审核和平台审核通过；审核完成后把本轮动态加载模块使用的商户账号切换到该客户。
+`merchant-qualification-fixture.mjs` 是默认全量验收的首个模块。它只登录已配置的既有固定客户，核对账号实际归属、ACTIVE 状态及默认尺寸初始化 READY，再供本轮业务模块复用。不包含建客、上传资质或审核代码；任何调用上下文缺少固定客户都在请求前阻断，不按环境回退造客。
 
 依赖商户下单资格的模块不要单独运行。定向排查时至少保留前置模块，例如：
 
@@ -587,3 +587,7 @@ Client 全量为单文件，新增的客户账单、海外仓自助、跨境采
 - 合同数量与失败清单以同一源码快照的实际报告为准，不在模块索引维护固定失败数量；当前已验/未验范围统一查外层部署契约，历史报告不覆盖最新源码。
 
 采购费用不再使用通用费用草稿、审核和发布链。`phase4-overseas-finance-cross-region.mjs` 对采购改为验证通用创建被拒绝，其他四类费用继续验证既有投递链；采购成功来源由完整样品流程核对实扣与来源关联。
+
+`fixed-test-actors.mjs` 是固定测试角色与账号复用助手，不是独立入口。配置 `fixedActors` 按稳定槽位提供 `membershipId`、`username`、`password`、`roleId`、`roleCode`，ID 必须为十进制字符串。成员按权威目录分页并逐行匹配成员 ID 和登录名，不把登录名传作关键词（该接口的关键词只筛姓名、手机号、邮箱和成员号）；HTTP 拼车使用 `pool.sales.0/1`、`pool.dispatch.0/1`、`pool.fulfillment.0`，页面样本使用 `pool-ui.SALES_A`、`pool-ui.SALES_B`、`pool-ui.MANAGER`，车队权限探针使用 `fleet-cost.reader/denied`。只读核对 ACTIVE 角色、平台成员及唯一角色绑定，登录后逐项核对实际权限；隔离槽位必须使用不同账号，角色可以按相同权限复用。缺项或权限漂移阻断，不新增或修改角色、账号、权限。结束只退出本轮会话，固定身份不停用，订单继续保留真实创建人。`fixed-test-actors-contract.test.mjs` 覆盖重复运行、权限越界、身份漂移和退出失败。Finance 的 `loadSupplier` 在所有上下文都只查询和复用已启用、类别及船司/拖车范围匹配的供应商，缺失不再创建替代主档。
+
+固定账号目录核对统一按成员 ID 和登录名读取分页结果，PDA及国内权限拒绝探针同样不把登录名作为服务端关键词。`restoreFixedPicker` 只从当前固定池恢复检查点记录的同一成员及仓绑定；不按批次推算用户名或口令，不启用、重置或新建账号。Admin 根上下文共享 PDA 会话占用集合，子流程的租用可由父流程正常退出释放，避免同一固定操作员被子流程重复占用或遗留登录会话。