WIP-300 · L3 高风险 B/A 7 页三覆盖核验矩阵

接续：一号 WIP-299（C端 9 页 8/9 ✅ + joint-payment 后端 404 缺陷），其完工回执明确「§3 另 7 页（A/B端）归二号」。
范围：269 分级表 §3 L3 16 项中责任包=二号的 7 页。
口径（与一号一致）：三覆盖 = 登录态 + 真后端 + 异常态，逐页代码审计 + 端点拓扑。
基线：main（284 补丁已由一号 apply 上 main；阿仁 WIP-297 已回执两段核销 redeem_stage 与 262 状态机对齐 PASS）。
审计性质：只读审计，不改业务代码（发现缺陷出清单）。

基座（两页共用的登录态/异常态统一机制）

端	基座文件	token 挂载	401 处理	403/网络	响应包
A	`admin-console/src/services/http.ts`	自动 `Bearer`（localStorage SESSION_KEY）	清态跳 `/login`（豁免已在登录页）	403 抛 ApiError「需平台管理员」；网络异常 status=0	原样返回，调用方解包
B	`b-workbench/src/services/Network.ts`	自动 `Bearer`（getToken）	清态 reload；公开路径豁免（`/s/`、`/redeem-confirm/` 不 reload 但仍 throw）	throw Error 由页面 catch	`{data:响应体}`，调用方解包

两基座均：零静默 mock、非 2xx 抛错、双包（{code:0}/{ok:true}）不强行解构。

三覆盖矩阵（7 页）

#	端	页面/路由	依赖端点（后端在线）	登录态	真后端	异常态	判定
1	A	Login `/login`	POST `/auth/password-login` + GET `/identity` 校验 is_admin	service 显式带 token 拉 identity；成功落 session	password-login 422(空参)/identity 401 实测；端点在	401 密码错/403 非管理员/400 未设密码三分支 + busy 防重入 + 11 位手机号校验	✅
2	B	Login `/login`	POST `/auth/password-login`；staging dev：POST `/auth/login`	成功 finishLogin 落 token	422/400 实测（非 404）；端点在	ok/token 防御、403 无员工/商户身份提示、网络错误、空值校验、catch	✅
3	B	Bills `/bills`	GET `/workbench/bills`、GET `/{id}`	经基座（get_current_user）	401 实测、路由 miniapp_bills.py:82/127	列表/详情 catch + 错误态；空列表	✅（只读）·涉钱写降级
4	B	Orders `/orders`	GET `/merchant-console/orders`、GET `/orders/pending-confirm`、POST `/{id}/merchant-confirm`、POST `/{id}/merchant-reject`	经基座	列表+待接单 401 实测；265/344 路由在	双 Tab 各自 catch/errorMsg、空态、双包解包(code/ok)、409 detail 直显、4 处 catch	✅
5	B	PaymentSettings `/payment-settings`	GET `/merchant-console/payment-mode`、PUT 同路径	经基座	401 实测；129/152 路由在	400/403/404/409 detail 全分支、busy 防重入(saving/loading/loadError/未变更拦截)、网络 catch、留痕诚实只显计数	✅
6	B	Redeem `/redeem`	POST `/workbench/redeem/scan`、`/arrival`、`/confirm`	经基座（登录页）	scan 401 实测；121/229/320 路由在	scan/arrival/confirm 3 catch；arrival 409/alreadyArrived detail 直显不阻断；状态机门禁	✅
7	B	RedeemConfirm `/redeem-confirm/:code`	同上 scan/arrival/confirm	公开直达：基座豁免 reload；401 页面识别「登录」文案→「需商户/员工身份」	scan 401 响应体 `{detail:"未登录"}` 实测	4 catch（最多）；401 友好态、网络错误、loading/finally	✅

状态机门禁（Redeem/RedeemConfirm 两段核销，阿仁 297 已对齐）

arrival 按钮：仅 liveStatus==='confirmed' 可点；非 confirmed 显示「当前状态不支持到场确认」。
confirm 按钮：disabled={confirming || confirmResult || !isArrived}；未到场提示「请先完成到场确认」。
arrival 成功：confirmed→in_service（不销钥、不计佣、写 arrival 事件、码 partially_redeemed、幂等 alreadyArrived）。
confirm：in_service→partially_redeemed/completed（销钥计佣）。前端门禁与后端状态机/幂等语义一致（阿仁回执 PASS）。

缺陷与降级登记

级别	项	说明	处置
🔵 降级（非缺陷）	Bills confirm/dispute	POST `/{id}/confirm`、`/{id}/dispute` 后端端点已存在（163/195），但属涉钱写操作，前端按裁决保持诚实降级「接口未开放」，列表/详情只读已接真	等刘总/小齐裁决开放口径后接线（非本核验单改码）
⚪ 提示	RedeemConfirm 公开页 401	scan 需商户身份，公开直达必然 401；前端已诚实提示登录，符合设计	无需处理
无	端点缺失/裸连/假数据/冲突标记	7 页零裸连、零 mock/setTimeout、端点全部在线（无类似 C 端 joint-payment 的 404）	—

汇总：7/7 ✅。 无阻断缺陷；唯一未放开的是 Bills 涉钱写操作（策略性降级，后端就绪，待裁决）。