docs(aihr): record latest online resource drift

docs/BRD_IMPLEMENTATION_AUDIT.md

@@ -2,6 +2,7 @@
 
 更新时间：2026-07-14
 
+- 2026-07-14 最新线上只读资源复核：生产根站、`/h5/` 和 `/prod-api/auth/tenant/list` 均返回 `200`；线上管理端仍加载 `assets/index-CJZ3Ax3Z.js`（SHA-256 `8b9278a26ccb760abce489b12a20b221748c64d4c4153613d2511777bb9677bc`），H5 仍加载 `assets/index-D4-NrEpb.js`（SHA-256 `ab15bfd17cabe58e2f34b0ac61ee198a837128ed85dc6bb0ddf77bc3e22dcd9c`）；当前提交 `0de9704e` 重建后的本地资源为管理端 `assets/index-B9T505HT.js`（SHA-256 `66a827a7b3e5d794ae9da54c6e2276080995614fa52f54d49f746087663f8c94`）和 H5 `assets/index-CDn6TrX8.js`（SHA-256 `eecb4820f3887aceb952efe3e6f2210bab325be8b03f2813e6ec304c68b26f08`），两端仍未发布。本轮仅做 GET/hash 核验，未执行生产静态同步、后端重启或业务数据写入。
 - 2026-07-14 BRD 5.4/G3 组织同步写入保护：`POST /api/aihr/org/sync` 现在要求请求显式传 `dryRun=true` 或 `dryRun=false`，省略请求体或传 `null` 会在外部拉取前直接拒绝，避免空请求因 `replaceExisting=true` 默认值意外写入组织快照；补充服务单测、`demo-check` marker 和 API 对接说明，未修改线上组织数据。
 - 2026-07-14 BRD 5.4/G3 组织同步 HTTP 入参边界补强：组织同步控制器现在要求请求体必须存在，空 POST 在 HTTP 层直接按请求错误处理；服务层继续要求 `dryRun` 显式传 `true/false`，避免把空请求误判为写入操作。补充 `demo-check` marker，未修改数据库或线上组织数据。
 - 2026-07-14 BRD 严格门禁真实窗口复核：`AIHR_PILOT_START_DATE=2026-07-07 AIHR_PILOT_END_DATE=2026-07-11 AIHR_PILOT_STRICT=true ./scripts/demo-check.sh` 已通过源码、页面壳、租户和验证码检查，正式数据门禁实际失败为 `service_promotion=0`、`daily_service=0`、住宅 SOP `3/5`、案例 `2/20`、在职手机号映射 `1/3001`、入职日期 `0/3001`、满足十次训练 `0/52`、校准 `0/20`、SOP 可用 `0/0`、满意度响应 `0`；未写入业务数据，不能用本地演示样本伪造通过。