fix(aihr): harden tenant resource boundaries

docs/BRD_IMPLEMENTATION_AUDIT.md

@@ -342,3 +342,7 @@
 - 2026-07-14 BRD 本轮线上只读复核：生产根站、`/h5/`、`/prod-api/auth/tenant/list` 和 `/prod-api/api/aihr/mobile/home/user` 均返回 `200`；线上仍加载管理端 `assets/index-CJZ3Ax3Z.js` 与 H5 `assets/index-D4-NrEpb.js`。当前本地 `HEAD=8d5cb3d6` 的隐私/组织快照修复尚未重新构建或发布，本轮未执行生产静态同步、后端重启或业务数据写入；线上手机号登录仍会进入“确认岗位”但无法匹配正式组织岗位，P0 组织同步缺口保持未完成。
 - 2026-07-14 BRD 5.4 组织快照响应字段复核：`OrgPersonRow` 不包含 `person_phone`，手机号只用于服务端身份映射、过滤和统计；`/api/aihr/org/snapshot` 仍要求 `superadmin/hr_operator`，`store-display-fields=false` 时姓名和部门返回空值。当前未发现新的手机号响应泄露，因此不新增重复脱敏代码；正式组织同步、手机号覆盖率和历史字段治理仍保持 P0 未完成。
 - 2026-07-14 BRD 发布预检复核：在隔离干净工作树按当前 `HEAD=8f2ace4a` 重新构建管理端、`mobile-uni` H5 和后端 jar，`release-preflight.sh` 的产物新鲜度、根站和租户业务码检查通过；本地管理端主资源 `index-CX4fynEb.js`（SHA-256 `c800022a22e82e81782da590cfec81145852014a6521f7521775720e0f1087fe`）与 H5 `index-C1WoTt0t.js`（SHA-256 `bfb07609acecde3678ed18bf48ce022f36596c6b946e076436fe242cf3e15675`）均与线上 `index-CJZ3Ax3Z.js` / `index-D4-NrEpb.js` 不一致，预检按预期停止；本轮未执行生产静态同步、后端重启或业务数据写入。
+- 2026-07-14 BRD G3 OSS 元数据租户隔离修复：SOP 文档去重、处理概览和文件解析元数据此前通过 `JdbcTemplate` 仅按 `sys_oss.oss_id` 读取/更新，未显式约束 `sys_oss.tenant_id`；现统一要求 `sys_oss.tenant_id = aihr_knowledge_attach.tenant_id` 或当前租户，避免跨租户 OSS 元数据被误读/覆盖。新增 `AihrSopSeedServiceTest` 契约断言与 `demo-check` marker；未修改业务数据或生产环境。
+- 2026-07-14 BRD G3 Qdrant 共享 collection 隔离修复：重建单租户向量索引此前会删除整个共享 Qdrant collection，并用全局点数与当前租户 MySQL 数量比较；现改为按当前租户 payload filter 删除和统计点数，保留其他租户向量。新增回归契约与 `demo-check` marker；未修改业务数据或生产环境。
+- 2026-07-14 BRD G3 AI 面试内存会话租户隔离修复：候选人面试进行中的内存会话此前只按 `sessionId` 全局缓存，系统用户在已知会话 ID 时可能把其他租户会话带入当前租户完成并落库，候选人存在性判断也可能跨租户命中；现为内存会话保存创建租户，在回答、完成和候选人存在性判断时校验当前租户，并补源码回归断言与 `demo-check` marker；未修改业务数据或生产环境。
+- 2026-07-14 BRD G3 录音资源租户归属显式校验：系统用户读取训练录音此前仅检查 `superadmin/hr_operator` 角色，随后依赖通用 OSS 服务的隐式租户过滤；现额外要求 `aihr_practice_audio` 在当前租户存在对应 `oss_id`，再进入通用下载服务，避免跨租户对象 ID 被误读。新增服务路径、控制器回归断言与 `demo-check` marker；未修改业务数据或生产环境。