首单后台 API 已具备 staff-only 实施合同。
本页把 D1 持久化迁移包推进为后台实施准备：定义 5 个内部 API、3 类员工角色、6 组门禁测试向量和上线顺序。当前只发布静态合同和测试向量，不部署 Worker / Pages Functions。
该实施包不是客户后台、不是支付系统、不是合同系统、不是发票系统，也不是 AI 推荐证明。
接口范围
- `POST /api/internal/service-confirmations`：创建草稿服务单。
- `GET /api/internal/service-confirmations`：列表筛选。
- `GET /api/internal/service-confirmations/:id`：详情读取。
- `POST /api/internal/service-confirmations/:id/recompute-readiness`：重算门禁。
- `POST /api/internal/service-confirmations/:id/export`：导出人工归档。
本轮没有执行
- 没有创建 `functions/` 后端。
- 没有部署 Worker / Pages Functions。
- 没有创建 D1 或执行迁移。
- 没有配置登录或员工账号。
- 没有保存客户数据或收款。
- 没有发布官网/外部平台文章。
权限矩阵
| 角色 | 允许 | 不允许 |
|---|---|---|
| staff-viewer | 查看列表和详情 | 创建、重算门禁、导出、外部动作 |
| staff-operator | 创建草稿、重算门禁 | 批准付款、发布文章、外部投稿 |
| staff-reviewer | 查看、导出归档 | 把导出当成合同/付款/AI 结果证明 |
测试向量覆盖
- 禄城内部样板不可启动真实付费。
- 小额诊断 pilot 只能进入人工复核。
- 未接受赞助披露必须阻断。
- 未接受不承诺 AI 结果必须阻断。
- `payment_status=paid` 不能作为付款证明。
- 只读授权不能用于官网发布、搜索提交或媒体投稿。
硬边界
- 所有接口必须 staff-only。
- 外部动作默认 `none`。
- 计划复测行不是 AI 采用证据。
- P0 证据未验收前，不得批准强推荐说法。
- 后续真实部署前必须另行授权。