fix: harden knowledge lifecycle rollout

docs/API_INTEGRATION.md

@@ -330,11 +330,11 @@ POST /api/knowledge/quality/rollout/spaces/{knowledgeId}/generation-rollback
 
 审核包只提供风险、重复、冲突、质量问题和建议动作，不代替人工决定。低风险批量发布必须由人工显式发起、携带幂等 `batchKey`，逐项重新校验候选版本；`MEDIUM/HIGH/CRITICAL` 不进入批量发布。并发审核通过 `expectedVersionId` 拒绝已经换过候选版的陈旧操作。
 
-撤回是可恢复的在线下线：立即停用生产成员并排队删除当前 generation 的向量，但保留版本和片段供审计/回滚。物理清理只能针对已撤回资产，先生成影响快照，再进入 `PENDING -> APPROVED -> EXECUTING -> EXECUTED/FAILED`；申请人与批准/执行人必须不同，`legal_hold`、`PERMANENT` 或未到 `execute_after` 一律拒绝。保留期为 `TEMPORARY=7`、`STANDARD=90`、`REGULATED=365` 天。独占 OSS、MySQL 版本/片段/证据和对应向量按审计请求清理，`aihr_deletion_request` 永久保留为墓碑；`reconciliation-runs` 用于发现 MySQL、OSS 元数据、向量计数和 chunk 向量血缘漂移。
+撤回是可恢复的在线下线：立即停用生产成员并排队删除当前 generation 的向量，但保留版本和片段供审计/回滚。物理清理只能针对已撤回资产，先生成影响快照，再进入 `PENDING -> APPROVED -> EXECUTING -> EXECUTED/FAILED`；申请人与批准/执行人必须不同，`legal_hold`、`PERMANENT`、未到 `execute_after` 或活动 generation 仍包含该资产时一律拒绝。活动代次引用存在时，必须先构建并人工启用一个不含该资产的新代次。保留期为 `TEMPORARY=7`、`STANDARD=90`、`REGULATED=365` 天。执行过程先准备固定向量目标清单，再以可重试方式清理 legacy、全部治理代次和独占 OSS，最后在单个数据库事务内删除版本、片段和证据；任一外部或数据库步骤失败都记录为 `FAILED` 并允许重试。清理会重算受影响非活动代次的成员数和点数、清空旧 manifest、标记代次失效并解除失效候选指针，不能把已被清理破坏的旧代次用于回滚。`aihr_deletion_request` 永久保留为墓碑；`reconciliation-runs` 用于发现 MySQL、OSS 元数据、向量计数和 chunk 向量血缘漂移。
 
 历史补链使用迁移清单而不是无状态循环调用。每个 `migration-run` 冻结租户、可选知识空间、风险范围、dry-run、批大小和 manifest hash；`next` 只推进已持久化游标并记录批次证据。`LOW_RISK` 只扫描租户可验证 OSS 原件，`QUARANTINE_FIRST` 只扫描缺失原件且需要隔离的资料，`ALL` 扫描全部候选。失败附件进入显式 dead letter，最多按退避策略重试，不能因为单项失败回滚或隐藏仍由 LEGACY 服务的线上资料。正式任务必须提交 `verifiedDryRunId`，服务端只接受已完成且知识空间、风险范围、批大小完全一致的演练；管理端创建正式任务后仍需人工逐批推进，不会自动修改资料。
 
-空间发布固定为 `LEGACY -> SHADOW -> ENFORCED`。SHADOW 仍服务旧链路，候选 generation 在独立 collection/generation 中全量构建；管理端可记录真实问题的双链路对照。启用门禁要求候选 generation 为 `READY`、至少 20 个样本、Top1 一致率不低于 90%、Top5 平均重合率不低于 80%、治理结果空集率不高于 1%，且无覆盖缺口、开放关键问题或索引死信。旧 transition 接口不能直接进入 ENFORCED；只有人工使用最新 `PASSED` gate 调用 `activate` 才能切换。原 generation 保留 7 天回退窗口，回退后恢复 SHADOW。
+空间发布固定为 `LEGACY -> SHADOW -> ENFORCED`。SHADOW 仍服务旧链路，候选 generation 在独立 collection/generation 中全量构建；每个候选清单记录实际 embedding 模型、维度、成员数、点数和确定性 SHA-256，混用模型/维度或清单不完整会使 generation 失败，不能进入 `READY`。管理端可记录真实问题的双链路对照：旧链路结果来自当前线上召回，候选结果必须由 Qdrant 按租户、知识空间、生产数据集、已发布生命周期、人工可信级别和精确 generation 过滤；向量服务或模型失败时不写伪对照证据。启用门禁要求候选 generation 为 `READY`、至少 20 个样本、Top1 一致率不低于 90%、Top5 平均重合率不低于 80%、治理结果空集率不高于 1%，且无覆盖缺口、开放关键问题或索引死信。旧 transition 接口不能直接进入 ENFORCED；只有人工使用最新 `PASSED` gate 调用 `activate` 才能切换。原 generation 保留 7 天回退窗口；只有仍为 `RETIRED` 且未被物理清理失效的原代次可回退，回退后恢复 SHADOW。
 
 `publish` 必须带人工审核意见、用途、来源权威级别和来源版本。请求中的 `acceptedReasonCodes` 只能确认当前版本仍开放的软提示，服务端会再次统计开放问题，遗漏任何一项都拒绝发布；`HARD` 问题不能在发布动作中接受，必须修订原资料并生成新版本，或通过后续独立的显式纠错流程解决。规范性知识仅接受 `FORMAL_POLICY / COMPANY_POLICY / REGULATION / APPROVED_SOP` 且版本非空；同名已发布资料内容变化会产生 `VERSION_CONFLICT`，规范性知识必须再传 `supersedesAssetId`，服务端验证同租户、同来源名和旧资产仍已发布后，在同一事务内撤回旧版本并发布新版本。