fix(aihr): scope pilot gates by tenant

docs/BRD_IMPLEMENTATION_AUDIT.md

@@ -183,3 +183,4 @@
 - 2026-07-14 BRD 知识反馈归属复核：答案反馈原先信任客户端传入的片段 ID，未校验知识片段是否属于当前租户；现入库前按当前租户校验片段归属并限制单次最多 20 个片段。
 - 2026-07-14 BRD 知识反馈关联复核：答案反馈原先直接接受客户端传入的 `reviewId`；现仅保留当前租户存在的 SOP 评审关联，非法或跨租户 ID 归一为空。
 - 2026-07-14 BRD 候选资料审核留痕：候选资料审核此前只有状态三态，没有审核人和审核时间；现由服务端从当前 HR 登录态写入 `reviewer/reviewed_time`，管理端审核表同步展示。
+- 2026-07-14 BRD 试点门禁租户参数化：严格试点预检此前将 M5 查询固定到 `tenant_id='000000'`，正式试点切换租户时会统计错误；现支持经过字符白名单校验的 `AIHR_PILOT_TENANT_ID`，默认仍为本地开发租户，试点命令和文档已同步。

docs/DEMO_ACCEPTANCE.md

@@ -32,7 +32,7 @@
 | 4 | 管理端 `/train/practice` | 选择训练记录 → 人工校准评分 → 选择试点起止日期 → 导出试点 CSV | 导出只统计批次内能唯一匹配在职组织的正式数据，包含训练次数、每人 10 次完训率、平均分、预警数、主管复盘率、AI/人工分档一致率、SOP 可用率及正式身份明细 |
 | 5 | 模型成本闸门 | 设置 `AIHR_AI_RUNTIME_ENABLED=false` 后重启后端 → 调 `/api/aihr/model/chat` | 返回 `cost-guard-fallback`，chat/asr/tts 走现有文本兜底，不影响训练闭环 |
 
-试点正式验收前，用 `AIHR_PILOT_START_DATE=2026-07-07 AIHR_PILOT_END_DATE=2026-07-10 AIHR_PILOT_STRICT=true ./scripts/demo-check.sh` 检查 M5 样本闸门，日期替换为本批试点的真实起止日。闸门只统计该时间窗内的数据；正式试点人员必须通过唯一手机号映射到在职组织快照，达到 10 次已完成对练的人数需覆盖试点人员的 80% 以上。校准样本、AI/人工分档一致率和 SOP 可用率未达标时同样失败，不用静态演示 marker 或历史 seed 数据代替真实试点数据。
+试点正式验收前，用 `AIHR_PILOT_TENANT_ID=000000 AIHR_PILOT_START_DATE=2026-07-07 AIHR_PILOT_END_DATE=2026-07-10 AIHR_PILOT_STRICT=true ./scripts/demo-check.sh` 检查 M5 样本闸门，租户和日期替换为本批试点的真实值。闸门只统计目标租户、该时间窗内的数据；正式试点人员必须通过唯一手机号映射到在职组织快照，达到 10 次已完成对练的人数需覆盖试点人员的 80% 以上。校准样本、AI/人工分档一致率和 SOP 可用率未达标时同样失败，不用静态演示 marker 或历史 seed 数据代替真实试点数据。
 
 2026-07-10 本地快照（时间窗 `2026-07-07..2026-07-10`）：场景 `12/12`、开发活动身份 `50` 人，但达到 10 次对练者 `0` 人；窗口内能关联正式试点会话的校准样本为 `0/20`，因此分档一致率暂不可验收；已评审 SOP `2/2` 可用，另有 `119` 条待评审。严格预检当前**失败**于正式组织人员门槛：3001 名本地在职人员只有 1 名具备唯一可用手机号，活动数据也只有 1 人能唯一匹配正式组织，且该人员达到 10 次对练的数量为 `0/1`。开发数据和非正式会话校准不能替代正式试点人员；补齐上游手机号并重新同步前，不得宣称一期业务验收完成。
 

docs/DEV_SETUP.md

@@ -52,7 +52,7 @@ Qdrant 默认本地无需配置；远端或自定义 collection 可用 `AIHR_QDR
 
 组织同步写入前先运行只读预检：`node scripts/verify-demo-questions.mjs --org-dry-run`。dry-run 不检查或变更本地快照表结构，也不写数据库；输出只包含人数、手机号覆盖、脱敏数、疑似乱码数和警告，不输出员工姓名。只有 `phone_linked` 能覆盖至少 20 名正式试点人员且上游修复疑似乱码后，才切换管理端组织同步为写入模式。
 
-正式试点预检必须指定当前批次时间窗，例如：`AIHR_PILOT_START_DATE=2026-07-07 AIHR_PILOT_END_DATE=2026-07-10 AIHR_PILOT_STRICT=true ./scripts/demo-check.sh`。脚本只接受 `YYYY-MM-DD`，只统计窗口内完成的训练、校准和 SOP 评审；人员先按唯一手机号映射到在职组织快照，完训口径为每人至少 10 次已完成对练。
+正式试点预检必须指定当前批次租户和时间窗，例如：`AIHR_PILOT_TENANT_ID=000000 AIHR_PILOT_START_DATE=2026-07-07 AIHR_PILOT_END_DATE=2026-07-10 AIHR_PILOT_STRICT=true ./scripts/demo-check.sh`。脚本只接受安全租户编号和 `YYYY-MM-DD` 日期，只统计目标租户窗口内完成的训练、校准和 SOP 评审；人员先按唯一手机号映射到在职组织快照，完训口径为每人至少 10 次已完成对练。
 
 管理端正式试点 CSV 也必须显式选择同一批次日期。可用真实 API 验证其日期拒绝、CSV 契约和正式身份范围：`node scripts/verify-demo-questions.mjs --pilot-export --start-date=2026-07-07 --end-date=2026-07-10`。