docs(brd): record org and release evidence

docs/BRD_IMPLEMENTATION_AUDIT.md

@@ -113,6 +113,7 @@
 - 2026-07-14 测试租户 HTTP 回归：在本地临时建立 `codex-a`/`codex-b` 两个租户，用同一手机号分别登录并授予各自 `superadmin` 测试角色；两租户分别调用异步上传和目录导入接口。A 查询不到 B 的上传批次/导入任务，B 也查询不到 A；两个目录导入任务均完成 `1/1`。后台 worker 的队列加工、目录导入、任务进度和查询均保持租户隔离。测试产生的租户、用户、角色、知识库行和临时文件已清理为 0。该证据只覆盖本地测试环境，不替代正式组织同步和生产多租户验收。
 - 2026-07-14 上传队列上下文收口：`AihrUploadQueueService` 的同步请求租户读取改为 `TenantHelper.getTenantId()`，动态租户上下文优先于登录态，避免重试/嵌套任务回退到错误租户；`AihrUploadQueueServiceTest` 已补对应源码契约断言。AIHR 定向测试与模块编译通过。
 - 2026-07-14 发布前检查补齐：新增只读 `scripts/release-preflight.sh`，统一核验当前 commit、管理端/H5/后端产物存在性、入口 JS 和 SHA-256；传入 `RELEASE_REMOTE_URL` 时只做公开根站点与租户列表 HTTP 检查，不执行 SSH、rsync、服务重启或生产写入。`docs/DEV_SETUP.md` 已同步发布证据与回滚留痕要求。
+- 2026-07-14 当前状态复核：本地 `ry-vue` 组织快照有 `3001` 条 active 记录，但手机号可映射仅 `1` 条、项目 `41` 个，不能作为正式 1–2 项目试点身份数据；线上根站、`/h5/` 和租户接口均返回 `200`，但线上管理端仍加载 `index-CJZ3Ax3Z.js`，本地现有构建产物为 `index-Cz1rtpOj.js`，且发布预检被两份已有未提交 Figma 文档阻断，因此未把最新本地提交宣称为已发布。
 - 2026-07-14 BRD 公开导航回归：`GET /api/knowledge/position-sop` 明确是一期生活顾问学习导航摘要，不返回个人或项目私有数据；控制器补 `@SaIgnore` 后匿名请求返回 `200`，而同一控制器的 `POST /api/knowledge/search` 仍返回业务 `401`，保持“公开只读导航、登录后查询与反馈”的边界。同步完成跨租户异步上传成功路径回归：codex-a/codex-b 各上传独立文件并加工为 `status=2`，互查批次均为空；临时租户、用户、队列、知识库、OSS 与暂存文件已清理。
 - 2026-07-14 BRD G3 仪表盘权限收口：`/api/aihr/dashboard/overview` 返回组织、训练、知识库、案例和候选资料统计，控制器新增显式 `@SaCheckLogin`；匿名请求业务返回 `401`，同时保留服务层按当前租户过滤。后续正式主管可见范围仍需组织快照和项目权限数据支撑。
 - 2026-07-14 BRD G3 主管接口权限复核：移动端主管/团队/预警/派题/复盘接口对后台系统用户现在要求 `superadmin` 或 `hr_operator` 角色；APP 用户仍要求组织快照中的主管/项目经理身份。新增源码契约测试与 `demo-check` marker，避免普通后台账号越权读取团队训练数据或创建派题。