fix(aihr): tighten org privacy and pilot evidence boundary

docs/BRD_IMPLEMENTATION_AUDIT.md

@@ -8,6 +8,8 @@
 - 2026-07-14 BRD G3/G6 生产验证码安全边界修复：`CaptchaController` 原先允许通过 `aihr.sms.demo-fixed-code-enabled=true` 在 `prod` profile 放行固定短信验证码，和项目要求的“生产代码级禁用”冲突；现仅允许非 `prod` profile 使用 `aihr.sms.dev-fixed-code`，删除生产覆盖开关，并新增源码契约回归与 `demo-check` marker。未修改线上配置或生产数据。
 - 2026-07-14 本地验证环境一致性修复：项目 Docker 编排使用 MySQL `13306`、Redis `16379`，但 `application-dev.yml` 原先仍默认连接 `3306/6379`，导致 admin Spring 全量测试误连其他本机容器；现 dev 数据源改为 `AIHR_MYSQL_*`、`AIHR_REDIS_*` 可覆盖配置，默认与本项目编排一致，生产配置不变。`ruoyi-admin` 全量测试已通过。
 - 2026-07-14 BRD 5.4/G3 线上岗位身份映射修复：生产关闭组织姓名/部门展示时，`orgSnapshotWhere` 原先也排除了 `person_phone`，认证 APP 用户的手机号查询可能返回空结果并错误降级为员工/手动选岗；现隐藏展示字段模式仍允许按手机号过滤，但不返回手机号或姓名部门。新增回归测试与 `demo-check` marker；线上需重新发布后再用正式组织映射数据验证。
+- 2026-07-14 BRD 5.4/G3 主管团队隐私与稳定身份修复：组织快照存在且默认关闭展示字段时，主管团队成员、训练记录、派发任务和待复盘接口不再把手机号作为 `ext_party_id` 或姓名返回；历史按手机号落库的训练/派发记录会通过 `aihr_org_snapshot` 映射回稳定外部主体 ID，项目筛选也同时覆盖手机号存量记录；无项目范围的后台团队读取改为只读 active 组织快照，不再从训练表泄露姓名/手机号。新增 46 条服务回归测试覆盖稳定身份、隐藏显示字段、跨项目范围和手机号存量过滤；生产正式组织快照仍需上线后复核。
+- 2026-07-14 BRD 5.4/G3 管理驾驶舱训练记录隐私修复：`AihrDashboardService` 的最近训练记录默认不再直接返回历史 `trainee_name`，只有显式开启 `aihr.org-sync.store-display-fields` 才展示名称；补充源码契约回归与 `demo-check` marker。该修复仅收紧响应展示，正式组织主体与姓名展示方案仍需生产数据和合规口径确认。
 
 ## 1. 审查口径
 
@@ -318,5 +320,9 @@
 - 2026-07-14 BRD 生产迁移回归固化：新增 `scripts/tests/aihr-schema-migrations.test.sh`，在临时 MySQL 库验证 SOP 主体/版本字段和组织入职日期迁移面对旧表、缺前置表时可安全执行且重复执行幂等；不写入开发库业务数据。
 - 2026-07-14 BRD 生产迁移回归扩展：同一临时 MySQL 回归测试同时连续执行 `aihr_20260714_practice_evidence_mysql8.sql`，确认 `aihr_practice_audio` 与 `aihr_practice_calibration` 两张证据表可重复创建；不写入开发库业务数据。
 - 2026-07-14 BRD 当前开发库审查快照：生活顾问启用场景 `12`、校准记录 `20`、已评审 SOP `2`，但住宅 SOP 文档仅 `3/5`、已入库案例 `2/20`，在职组织快照 `3001` 条中手机号可映射仅 `1` 条；这些数据不能作为正式试点通过，下一步优先补内容负责人确认的核心流程素材和正式组织身份映射，不用烟测记录替代。
+- 2026-07-14 BRD 5.4 训练隐私边界补强：组织快照存在且默认关闭显示字段时，员工历史、主管复盘详情、任务列表和正式试点 CSV 明细不再直接返回历史 `trainee_name`，统一回退为“员工”；新产生的训练、每日题和错题再练记录也不再默认写入姓名，只有显式开启 `aihr.org-sync.store-display-fields` 才展示/保留名称。新增服务回归断言与 `demo-check` marker，保留稳定 `formal_ext_party_id`、项目和训练证据字段；该修复不替代历史显示字段清理、保留期和法务确认。
+- 2026-07-14 BRD G3 组织快照缺失 fail-closed：主管团队接口此前在 `aihr_org_snapshot` 不存在时回退读取训练/派发表，生产迁移遗漏可能把历史姓名和非正式范围暴露给后台主管视图；现仅 `dev/local` profile 允许演示回退，其他 profile 在组织快照不可用时返回空团队并停止继续查询活动数据。新增“非 Demo 无快照直接为空”回归测试与 `demo-check` marker，不改变本地演示路径。
+- 2026-07-14 BRD 5.4 隐私开关一致性修复：部分兼容查询此前只有在检测到组织快照表时才隐藏姓名，组织表暂缺时可能绕过 `store-display-fields=false`；现员工历史、任务/主管记录、复盘详情及无快照演示成员读取均统一由显示开关控制，默认关闭即返回“员工”。dev 配置仍显式开启用于演示，生产默认关闭；AIHR 全量真测试通过，未修改业务数据。
 - 2026-07-14 BRD 严格门禁绕过修复：`AIHR_DEMO_CHECK_LIBRARY_ONLY=true` 仅允许测试加载脚本函数，和 `AIHR_PILOT_STRICT=true` 同时使用时现在直接失败，避免调试开关把正式试点检查静默跳过；新增回归断言，未修改业务数据。
 - 2026-07-14 线上浏览器身份复核：使用数据库已有手机号 `13900001111` 和当前 dev 验证码规则登录 `https://peilian.njzhmj.top/h5/` 成功，但随后进入“确认岗位”页并提示“未从组织数据匹配到岗位”，说明线上手机号登录链路可用而正式组织岗位映射仍未闭合；本轮未点击岗位确认，不写入线上岗位数据。
+- 2026-07-14 BRD 本轮线上只读复核：生产根站、`/h5/`、`/prod-api/auth/tenant/list` 和 `/prod-api/api/aihr/mobile/home/user` 均返回 `200`；线上仍加载管理端 `assets/index-CJZ3Ax3Z.js` 与 H5 `assets/index-D4-NrEpb.js`。当前本地 `HEAD=8d5cb3d6` 的隐私/组织快照修复尚未重新构建或发布，本轮未执行生产静态同步、后端重启或业务数据写入；线上手机号登录仍会进入“确认岗位”但无法匹配正式组织岗位，P0 组织同步缺口保持未完成。