feat(aihr): add experience library and community best answers as ask sources

- server-side employee position resolution (org snapshot) with hard
  position gate for EXPERIENCE/CASE sources; formal sources unaffected;
  unresolvable position fails closed to general-scope only
- merge published experiences (aihr_case_record, CASE_EXP) and moderated
  best answers (COMMUNITY, no submitter identity) into the citation pool
  as REFERENCE tier; auxiliary sources never alter formal answers and
  fail without breaking the main chain; grading re-grades ROUTE into
  GUIDANCE when only auxiliary evidence exists
- case recall endpoints enforce the same position gate
- moderator endpoint to promote a best answer into a CANDIDATE case
  record (idempotent via source_ref unique key, never auto-published)
- migration aihr_20260822_case_source_ref_and_best_answer_index_mysql8.sql
- COMMUNITY citations carry community-question:{id} in detailRef for
  direct navigation

docs/API_INTEGRATION.md

@@ -16,7 +16,7 @@
 | 正式试点数据导出 | `GET /api/train/practice/export?startDate=YYYY-MM-DD&endDate=YYYY-MM-DD` | 起止日期必填且包含结束日；只统计窗口内能通过唯一手机号或外部 ID 映射到在职组织快照的正式会话，排除重复手机号和身份碰撞。完训定义为每人至少 10 次，校准必须关联同一窗口内正式会话；CSV 同时给出校准命中数、SOP 可用数、满意度响应数/平均分，以及明细级 AI 分、人工校准分、校准人、校准时间、最终采用分、满意度分和意见，避免用四舍五入后的比率反推门禁状态；汇总和明细均携带正式人员及项目口径，不混入历史 seed/开发身份 |
 | 对练语音 | `POST /api/ai/asr`（multipart 字段 `file`，≤5MB）、`POST /api/ai/tts`（JSON `{text≤300字, voice?, voiceProfile?:{role,voice?,speed?,emotion?,dialect?}, practiceContext?:{sessionId,turnIndex,role:'customer'}}`，`dialect` 仅接受 `mandarin/cantonese/sichuanese`，非法值返回业务码 `400`；旧 `voice` 兼容；成功返回 `ossId`，客户端播放地址为受控的内联 `data:audio/*`，不返回原始 OSS URL）、`GET /api/aihr/mobile/oss/{ossId}` | ASR 按供应商分流：SiliconFlow 等 OpenAI audio 兼容服务继续走 `/audio/transcriptions` multipart；阿里云百炼 `dashscope/qianwen + qwen3-asr-flash` 走工作空间 `/compatible-mode/v1/chat/completions`，将短音频编码为 Base64 `input_audio` 并读取 `choices[0].message.content`，请求上限仍由本接口收窄为 5MB。生产 TTS 优先阿里 `qwen-audio-3.0-tts-flash`，旧 SiliconFlow CosyVoice2 保留兼容；按角色映射老师傅/业主/面试官音色，业主对练再按已有情绪分切换平静/严肃/强烈语气和语速；dialect 作为语气提示传给支持表现力提示词的 TTS，不含克隆，也不等同于方言正式验收。`practiceContext` 仅允许已认证 APP 员工把本次服务端生成的业主 TTS 绑定到本人当前或刚完成会话的指定原话术回合；服务端重新校验租户、员工身份、回合和文本，不接受员工端传 OSS ID 或任意角色。设备语音降级按方言选择语言：粤语使用 `zh-HK`，四川话无法由设备语音可靠模拟时明确提示用户转用服务端语音或文字，不伪装成普通话。模型管理需启用 `category=asr/tts` 配置；移动端优先用浏览器录音，`getUserMedia/MediaRecorder` 不可用或麦克风权限失败时，用 `audio/*` file input 选择/录制音频后继续调同一 ASR 接口；ASR/TTS 未配置或失败返回 fail，前端降级设备语音或文本；训练/每日题录音只通过 `audioOssId` 走受保护下载，历史客户端传入的 HTTP `audioUrl` 不再回显；TTS 成功音频仍写入 `sys_oss` 留痕，同时用内联 data URL 保持旧客户端可播放；移动端 OSS 下载只允许经本人或主管项目范围验证的 APP 身份，后台账号若需回放必须使用未来独立、受审计的管理端契约。 |
 | 实时对练 Beta（WebRTC） | `POST /api/train/practice/realtime/sdp`、`GET /realtime/personas`、`POST /realtime/session`、`POST /realtime/tools/invoke` | H5 浏览器及 App-Plus renderjs WebView 内的 WebRTC 直连阿里云（音频不过服务端），后端仅代理 SDP 交换（3 次/分/账号，sessionId 仅作日志关联且限字符）。人设为服务端 `AihrRealtimePersonaRegistry` 白名单：`owner-calm` 业主·常规（默认）、`owner-impatient` 业主·急躁、`digital-mentor` 数字师傅；人设绑定默认音色，客户端只选不编。`session.update`（instructions/音色/turn_detection/tools 声明）由 `/realtime/session` 组装下发，客户端原样转发；personaId 空白回落默认人设；会话记录写 Redis 30min（成功工具调用滑动续期），创建限流 6 次/分/账号。`digital-mentor` 声明 `search_knowledge` 工具：模型 function calling 命中（`response.function_call_arguments.done`）时客户端回传 `/realtime/tools/invoke`，服务端按登录态 + Redis 会话归属 + 人设工具白名单三重校验后走 `searchAuthorized` 浅层检索（不生成 LLM 答案、不落 `aihr_agent_run`；`source=realtime` 跳过 SOP 评审与知识缺口写入），output 拼接 ≤3 条片段并截断 1200 字；工具按账号限流 20 次/分，无授权/无结果/超时一律返回软着陆文案让模型如实作答，不中断语音会话。实时 Beta 不计分、不持久化训练数据；H5 与 App-Plus 均支持，App-Plus 在 renderjs 视图层执行媒体/WebRTC 并通过逻辑层复用受认证 SDP 与工具接口；需 APP 员工登录态，不启用模型 `enable_search`。配置 `AIHR_QWEN_REALTIME_ENDPOINT` / `AIHR_QWEN_REALTIME_API_KEY` / `AIHR_QWEN_REALTIME_MODEL`（模型白名单 `qwen3.5-omni-(flash|plus)-realtime`），密钥只放 `.env.local` 或外部环境变量。 |
-| 案例沉淀 `/knowledge/cases` | `GET /api/knowledge/case/capabilities`、`POST /api/knowledge/case/upload`、`/organize`、`/curate`、`GET /records`、`GET /records/{caseId}`、`POST /records/{caseId}/review`、`POST /records/{caseId}/publish`、`POST /records/{caseId}/retire`、`GET /records/{caseId}/media` | `/capabilities` 返回服务端判定的案例提交/查看能力，移动端不再向普通员工展示无权提交的素材表单；`/upload` 改为 multipart 真实语音上传并走 ASR，服务端只接受 MP3/WAV/M4A/WebM/OGG/AAC/FLAC，成功后原始音频写入 `sys_oss`，案例记录只保存 `mediaOssId` 供受保护媒体接口读取，不向客户端回传原始 `mediaUrl`；`/organize` 用真实转写调 chat 模型整理案例，未配置模型时按真实 transcript 本地结构化，并从背景外的真实摘要项提取学习点；`/curate` 只进入经验候选池，`/review` 只完成业务审核，`/publish` 才能在来源授权、脱敏、适用岗位、负责人、版本和生效期齐全时进入正式经验库，`/retire` 要求填写下线原因并立即停止员工召回；APP 用户必须先以认证手机号精确校验在职 `person_phone`，再由可信主体解析 `aihr_org_snapshot` 项目范围；案例 SQL 不得把 `person_phone` 与 `ext_party_id` 作为替代查询键。上传、整理、候选、审核、发布、下线、列表和详情均按该项目范围校验，未完成正式组织映射时安全拒绝，不接受前端伪造项目范围；员工列表/详情只返回 `knowledge_status=PUBLISHED` 且处于生效期的 `已入库` 案例，管理端系统用户保留全局运营视图；移动端和管理端案例详情通过受保护媒体接口回放原始音频，主管/项目负责人可提交脱敏点评；预渲染视频样片仍待正式媒体资产接入 |
+| 案例沉淀 `/knowledge/cases` | `GET /api/knowledge/case/capabilities`、`POST /api/knowledge/case/upload`、`/organize`、`/curate`、`GET /records`、`GET /records/{caseId}`、`POST /records/{caseId}/review`、`POST /records/{caseId}/publish`、`POST /records/{caseId}/retire`、`GET /records/{caseId}/media` | `/capabilities` 返回服务端判定的案例提交/查看能力，移动端不再向普通员工展示无权提交的素材表单；`/upload` 改为 multipart 真实语音上传并走 ASR，服务端只接受 MP3/WAV/M4A/WebM/OGG/AAC/FLAC，成功后原始音频写入 `sys_oss`，案例记录只保存 `mediaOssId` 供受保护媒体接口读取，不向客户端回传原始 `mediaUrl`；`/organize` 用真实转写调 chat 模型整理案例，未配置模型时按真实 transcript 本地结构化，并从背景外的真实摘要项提取学习点；`/curate` 只进入经验候选池，`/review` 只完成业务审核，`/publish` 才能在来源授权、脱敏、适用岗位、负责人、版本和生效期齐全时进入正式经验库，`/retire` 要求填写下线原因并立即停止员工召回；APP 用户必须先以认证手机号精确校验在职 `person_phone`，再由可信主体解析 `aihr_org_snapshot` 项目范围；案例 SQL 不得把 `person_phone` 与 `ext_party_id` 作为替代查询键。上传、整理、候选、审核、发布、下线、列表和详情均按该项目范围校验，未完成正式组织映射时安全拒绝，不接受前端伪造项目范围；员工列表/详情/音频只返回 `knowledge_status=PUBLISHED` 且处于生效期的 `已入库` 案例，并叠加岗位门：`applicable_positions` 为空（通用）或包含服务端按认证手机号从 `aihr_org_snapshot` 解析的在职岗位，岗位解析不到时仅通用经验可见；管理端系统用户保留全局运营视图；移动端和管理端案例详情通过受保护媒体接口回放原始音频，主管/项目负责人可提交脱敏点评；预渲染视频样片仍待正式媒体资产接入 |
 | 案例媒体安全 | `GET /api/knowledge/case/records/{caseId}/media` | 案例详情只返回 `mediaOssId`，不返回原始 `sys_oss.url`；媒体下载会重复执行登录、后台角色或 APP 项目范围校验，再由服务端流式读取 OSS。管理端与 `mobile-uni` 通过鉴权 blob/temp 文件播放，关闭详情页时释放本地对象 URL |
 | 问·数字师傅工作 Agent `/pages/user/sop/index` | `POST /api/aihr/agent/messages`、`POST /api/aihr/agent/messages/media`、`POST /api/aihr/agent/actions/{draftId}/confirm`、`POST /api/aihr/agent/actions/{draftId}/dismiss` | 移动端文字、ASR 转写和图片/视频统一进入 Agent。服务端根据消息规划 `KNOWLEDGE_QA/RESOURCE_DELIVERY/LIVE_MY_WORK/LIVE_TEAM_WORK/PRACTICE_COACHING/CAPTURE_FACT/MEDIA_UNDERSTANDING/WEB_RESEARCH/CLARIFY/SOCIAL`，再由固定策略校验当前登录身份和工具权限；客户端不提交 `toolCode`，模型也不能自由指定身份、SQL、URL 或任意工具。知识、训练概况、当前待办、确认式记忆、媒体分析和全网查询均复用现有领域服务；普通图片问答只做本次视觉分析，不要求先具备知识空间，用户明确问现场制度/流程时才校验授权空间并补充 SOP。全网查询先返回 `NEEDS_INPUT`，只有用户明确同意后才调用外部服务。统一响应使用结构化 `status/sourceSummary/citations/resources/actionDraft/clarification`；按钮不从答案文本推断。写入动作只接受 30 分钟有效的不透明 `draftId`，最终确认继续复用既有版本、幂等与可见性规则。每次运行只审计租户、主体、意图、工具、状态、来源类型、耗时和错误码，不保存原始问题、答案或附件。 |
 | SOP 知识底层服务 `/knowledge/sop` 与旧客户端兼容 | `POST /api/knowledge/query`、`POST /api/knowledge/query-media`、`GET /api/knowledge/citations/{detailRef}`、`POST /api/knowledge/citations/{detailRef}/media-link`、`GET /api/knowledge/resources/{attachmentId}/content`、`POST /api/knowledge/resources/{attachmentId}/download-link`、`GET /api/knowledge/resources/{attachmentId}/download?ticket=`、`POST /api/knowledge/answer-feedback`、`GET /api/knowledge/position-sop`、`GET /api/aihr/mobile/onboard/tasks`、`POST /api/aihr/mobile/onboard/tasks/{id}/complete`、`GET /api/aihr/mobile/qualification`、`POST /api/knowledge/doc/upload` | Agent 按规划结果调用该层；管理端和旧客户端接口继续兼容。文字/现场附件查询走统一知识空间授权和 MySQL Fulltext + Qdrant 混合召回；内部登录端可选传 `conversationId/contextVersion`，服务端保留 30 分钟不活跃过期、最新 6 轮脱敏截断上下文，用现有 chat 模型或保守规则输出 `QA/FILE/VIDEO/DATA_TOOL` 和 `rewrittenQuery`，旧版本冲突返回 `409`。员工从银城大喇叭详情追问时只传 `broadcastMessageId`：服务端每轮按当前 APP 在职员工、当前租户和 `PUBLISHED` 状态重新取消息，响应仅回显 `{messageId,title,publishedAt}`，消息正文不写入客户端存储、会话 JSON 或查询审计；同一会话的消息来源不可改绑，撤回、跨租户或非在职员工均拒绝。该上下文只说明公司消息，不可据此捏造个人任务；上下文模式拒绝现场媒体和数据工具，外部无状态 API 不接受该参数。岗位 SOP 的项目范围复用当前 APP 已验证主体的 `projectCodes`，不得以管理端组织快照的模糊/别名查询作为后备。原文件、图片和视频只从当前命中且仍有授权的附件返回；回答只携带不透明 `detailRef` 和最小定位摘要，详情及媒体票据接口每次重新计算租户、应用、主体和来源状态。文本详情返回受控分段和命中标记，图片/视频通过短期单附件票据以内联 MIME 响应读取，视频支持 HTTP Range；不返回原始 OSS 地址或登录令牌。无资源时明确返回空列表，不生成假链接。搜索继续返回 `reviewId/promptVersion`，员工反馈保存评审批次；员工学习页按当前 APP 身份读取正式岗前/入职任务，资格证据无正式数据时明确返回 `NOT_CONFIGURED`。详细边界见 [专项设计](20260718/问师傅多轮会话与原始资料交付设计.md)和[引用详情实施计划](superpowers/plans/2026-07-31-mobile-citation-source-viewer.md)。 |
@@ -36,7 +36,7 @@
 | 每日题反馈与常见难题 | `POST /api/aihr/mobile/practice/assignments/{id}/feedback`、`GET /api/aihr/mobile/practice/difficulties`、`POST /api/aihr/mobile/practice/difficulties/assign` | 反馈区分题目有用性与答案正确性；仅认证 APP 主管可按其项目范围聚合岗位、时间、次数、人数和均分，并基于难题创建专项。管理端不得调用移动主管接口；后台人工任务只走受角色保护的 `/api/train/practice/assignments/manage/**`。 |
 | 岗位考试 | 员工 `GET /api/aihr/mobile/exams`、`GET /exams/{id}`、`POST /exams/{id}/submit`；主管 `GET/POST /exams/supervisor`、`GET/PUT /exams/supervisor/{id}`、`POST /exams/supervisor/{id}/publish`、`GET /exams/supervisor/{id}/results`、`POST /exams/supervisor/question-bank/draw` | 主管按项目范围选择真实员工、组卷、发布和查成绩；员工只读本人目标考试。题库只有 `APPROVED + enabled + exam_enabled` 的题目可抽取，抽题请求 ID 会冻结岗位/题型/题数与题目快照，配置变更复用同一 ID 会拒绝；保存试卷时服务端重新加载快照并保存来源题目 ID、版本和 hash，后续题库编辑不改写已发布试卷。发布和提交接受请求 ID 并保持幂等，不得重复生成成绩或奖励。 |
 | 正式学习中心与任务 | 管理端 `/api/train/practice/onboard-tasks/manage`、`/materials`、`/exams`、`/batch`；员工 `GET /api/aihr/mobile/onboard/tasks`、`POST /api/aihr/mobile/onboard/tasks/{id}/complete` | 管理端按租户、项目、规范岗位和在职外部 ID 派发正式学习任务；材料只允许当前租户 `READY` 附件并保存标题/版本快照，任务支持一次/每日/每周/月度周期、起效时间、截止时间、进度和到期提醒。`MANUAL_CONFIRM` 才能人工确认，`EXAM_PASS` 只能由关联考试通过完成；重复请求 ID 返回逐人 `DUPLICATE`，配置不一致拒绝。员工只读本人已生效任务，原文继续经受保护资源接口鉴权；“每日三题”仍留在练习入口，不混入学习中心主任务列表。 |
-| 开放问题榜与积分 | 移动端 `/api/aihr/community/questions`、`questions/{id}`、`questions/{id}/answers`、`questions/{id}/best-answer`、`points/me`；后台 `/api/aihr/question-admin/**`、`/api/aihr/incentive-admin/rules` | 问题、答案、最佳答案和奖励全程按租户/身份授权；重复选优不重复入账。奖励只有积分与学习学分，不代表现金或提现 |
+| 开放问题榜与积分 | 移动端 `/api/aihr/community/questions`、`questions/{id}`、`questions/{id}/answers`、`questions/{id}/best-answer`、`points/me`；后台 `/api/aihr/question-admin/**`、`/api/aihr/incentive-admin/rules` | 问题、答案、最佳答案和奖励全程按租户/身份授权；重复选优不重复入账。奖励只有积分与学习学分，不代表现金或提现。已发布的最佳答案作为问模块只读 `REFERENCE` 级来源（不返回提交人身份）； moderator 可用 `POST /api/aihr/question-admin/answers/{answerId}/to-case-candidate` 把最佳答案转为经验候选：仅接受本租户 `is_best=1 AND answer_status=PUBLISHED` 的回答，同一 `answerId` 幂等返回同一 `{caseId, created}`；候选固定 `status=待审核 + knowledge_status=CANDIDATE + source_type=COMMUNITY_QA + source_authorized=0 + deidentified=0`，`source_ref` 存回答 ID，适用岗位按问题分类尽力映射（不可判定置空=通用），正式发布必须再走案例库人工确认链 |
 | 未解决反馈转人工 | `POST /api/aihr/community/questions/from-answer-feedback`，仅提交 `requestId`、`idempotencyKey` | 服务端重读本人 `down` 反馈和查询审计，问题固定进入 `PENDING`；重复请求返回同一问题，不自动公开或奖励，客户端不得提交重构答案、引用或身份 |
 | 全网 AI | 员工 `GET /api/aihr/web-ai/capabilities`、`POST /api/aihr/web-ai/query`；提供方管理 `/api/aihr/web-search/providers/**` | 与企业知识问答分入口和来源。仅接受公网 HTTPS 提供方，地址或密钥变更后必须重新连接测试；未配置/未启用时返回明确不可用，不生成假答案 |
 
@@ -62,6 +62,10 @@ curl -fsS "$API_BASE/api/aihr/agent/messages/media" \
 
 文字问题去空白后必须为 1–1000 字；媒体接口的 `question` 为空时使用“请分析附件内容”。请求不接受身份、角色、`toolCode`、知识空间 ID、SQL 或任意 URL。响应继续使用若依信封，`data.status` 只会是 `COMPLETED/NEEDS_INPUT/NEEDS_CONFIRMATION/NO_EVIDENCE/FORBIDDEN/UNAVAILABLE/FAILED`，按钮分别读取 `actionDraft/clarification/resources/nextActions`，不得解析 `answer` 猜状态。知识问答答案由服务端统一仲裁证据分级：`data.evidenceLevel` 为 `FULL/PARTIAL/GUIDANCE/ROUTE`（旧路径可为空），`ROUTE` 对应 `NO_EVIDENCE`，其余对应 `COMPLETED`；`data.uncoveredPoints` 列出没有正式依据的点；`data.nextActions` 形状为 `[{type, channel, label}]`，`type ∈ HUMAN_HELP/DIRECT_CHANNEL/WEB_RESEARCH`，`channel` 仅 `DIRECT_CHANNEL` 时有值（如 `direct_finance`）。`GUIDANCE` 答案显式标注“以下为参考经验，非正式制度依据”。澄清与 `NO_EVIDENCE` 互斥；服务端把待澄清事项挂起在 30 分钟短会话上，下一轮回复按“已回答/放弃/新话题”闭环，同一澄清最多问一轮。
 
+除正式文档证据外，问答引用池还并入两个只读增强来源（均为 `REFERENCE` 级，不得包装为制度）：`CASE_EXP` 来自生活顾问经验库 `aihr_case_record`（仅 `已入库 + knowledge_status=PUBLISHED` 且处于生效期的记录，按问题关键词命中标题/摘要/转写，最多 3 条，引用 `docId=case:{caseId}`、`fragmentId=null`）；`COMMUNITY` 来自有奖征答最佳答案（仅本租户 `PUBLISHED/CLOSED` 问题下 `answer_status=PUBLISHED AND is_best=1` 的回答，按问题标题/内容关键词命中，最多 3 条，引用 `docId=community-answer:{answerId}`，绝不返回提交人身份字段）。两类来源仅在 `QA` 意图下追加到既有文档引用之后：已有正式证据时答案与分级不变；无文档证据时由同一仲裁单点降级为 `GUIDANCE` 而不是 `ROUTE`；任一增强来源失败都不影响主检索链。审计 `sourceTypes` 如实记录实际使用的来源类型。
+
+岗位门：客户端永远不传岗位。服务端按当前认证 APP 主体从 `aihr_org_snapshot` 精确解析在职岗位（`ext_party_id`，多岗位取全部去重值）；管理端预览等无法解析的场景一律视为无岗位。经验/案例类证据（`sourceKind=EXPERIENCE/CASE`，含 `aihr_case_record` 与治理资产的 `applicable_role`）必须满足适用范围为空（通用）或包含当前员工岗位，否则硬过滤不出现；无岗位时仅空适用范围可通过（fail-closed）。`FORMAL_POLICY/OPERATING_MANUAL/APPROVED_SOP` 及其他来源不受岗位门影响。员工端案例列表/详情/音频召回与问答引用装配使用同一谓词；适用范围按逗号/顿号/分号分隔并去空白后精确比对。
+
 政策边界在检索前由服务端确定性执行：明确存在版本/规则冲突时返回 `NEEDS_INPUT`，不得自行裁决或拼接；明确无依据时返回 `NO_EVIDENCE`，不得用经验补全政策事实；跨项目、他人敏感信息、无权附件或未发布制度返回 `FORBIDDEN`。移动端 Agent 对涉及制度、权限、费用、安全职责或必留记录的问题，服务端会在规划改写前固定为正式政策模式，客户端不能选择或绕过；MySQL 模糊/全文召回、Qdrant 命中回表和最终引用装配均只接受 `aihr_knowledge_source_governance` 中当前有效的 `FORMAL_POLICY + APPROVED` 附件，并校验审批时 `docId` 快照一致、版本和原文件 SHA-256 登记完整。已覆盖的试点政策领域还会在进入模型前和最终引用装配时执行问题领域锚点相关性复核，只有来源合规且与问题领域匹配的片段才能参与回答；返回客户端的引用摘要围绕同一命中锚点截取，不能只展示无关的文档开头。正式问题不混入个人/项目记忆；治理表缺失、未审批、已失效、版本或哈希为空、领域不相关，以及最终引用重校验失败时统一返回 `NO_EVIDENCE`。普通“经验话术怎么说”等建议问题仍可检索经授权经验材料，但不得包装为制度。访谈、经验萃取、seed 或 AI 输出不得登记为正式政策来源。
 
 全网意图在 `externalConsent=false` 时以业务成功响应返回 `NEEDS_INPUT`，用户同意后原请求携带 `externalConsent=true` 重试。确认式记忆先取得 `actionDraft.draftId`，再提交卡片中可编辑的完整 `draft`：