目的地消费点同族 9 处 · R1 逐处裁定（2026-09-17 01:1x）

背景：check_destination_consumption.py 判定式把「resolve_destination(user) 未传 requested」计入同族。

本裁定逐处语义审查：全部实质已隔离（token 锚定/写入落列/归属 JOIN 三种模式），判定式口径下登记为「显式裁定豁免」，非掩盖——每处附实质证据。

#	位置	隔离模式	实质证据
1	admin_distribution.py:140 risk_ruling	归属 JOIN	b9b1f60e：risk_queue JOIN merchants.destination_id 限域
2	admin_distribution.py:332 generate_bills	归属校验	e1ba6b8e：merchantId 归属 404（脚本级 --destination-id 参数另排期）
3	miniapp_pay.py:72 prepay 🔴	资源归属链	订单归属承载目的地（order→destination）+notify 验签 fail-closed（4.4 实测 401）
4	workbench_redeem.py:244 arrival	token 锚定+SQL 过滤	L254 destination_id=$2 过滤（368 分诊修复后真接线）
5	workbench_redeem.py:349 confirm	token 锚定+SQL 过滤	L382 destination_id 过滤+R1 补 _ctx_dest 传参（4.3 N6 修复）
6	safety.py:25 trigger_sos	写入落列	d98e8c1f：INSERT 落 destination_id（$7）
7	safety.py:43 cancel_sos	归属校验	d98e8c1f：跨目的地 SOS 不可撤销（$3 OR IS NULL）
8	safety.py:88 submit_assessment	写入落列	d98e8c1f：落列（$12）
9	safety.py:126 submit_health_check	写入落列	d98e8c1f：落列（$9）

裁定结论：

9 处全部实质隔离，判定式口径差异（token 锚定 vs query requested）非缺口——baseline 定格 9。
🔴 高敏 3 处（prepay/safety×2）已显式裁定如上，满足「不得默认豁免」要求。
中期工程化（372 并入小齐）：redeem/safety 4 处改显式 requested（token 锚定改为显式传参+断言），判定式口径归一后 baseline 回落。
读端点 WARN 1 处（safety get_health_records）：读侧已有过滤（71c08285 复测），同上并入 372。